Podatności Customer Reviews for WooCommerce
5 znanych podatności CVE w Customer Reviews for WooCommerce, przetłumaczonych i ocenionych.
- CVE-2026-14942Nieznane
To CVE zostało odrzucone. ID zostało przypisane do zgłoszonej podatności w wtyczce Customer Reviews for WooCommerce WordPress, ale nigdy nie zostało opublikowane. Zgłoszenie zostało wycofane: warunek wstępny, na którym polegało, czyli uzyskanie przez atakującego identyfikatora formularza recenzji należącego do klienta, do którego nie ma już dostępu, nie mógł zostać wykazany. Nie wydano żadnego biuletynu dla tego ID.
- CVE-2026-6176Wysokie
Wtyczka Customer Reviews for WooCommerce dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 5.106.0 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku odpowiedniego escapowania danych wyjściowych w treści komentarzy recenzji. Wtyczka przyjmuje recenzje od nieuwierzytelnionych użytkowników przez akcję AJAX 'cr_local_forms_submit' bez sanityzacji treści HTML przed zapisem, a następnie renderuje je na stronach produktów bez odpowiedniego escapowania.
- CVE-2026-14941Średnie
Wtyczka Customer Reviews for WooCommerce dla WordPressa przed wersją 5.116.0 nie przeprowadza kontroli nonce ani uprawnień na kilku akcjach AJAX związanych z ustawieniami, co pozwala użytkownikom z minimalnymi uprawnieniami, takim jak Subscriber, na wywoływanie procedur ustawień administracyjnych, aktualizowanie opcji wtyczki oraz ujawnianie konfiguracji sklepu.
- CVE-2026-12684Średnie
Wtyczka Customer Reviews for WooCommerce dla WordPress przed wersją 5.113.0 nie weryfikuje autoryzacji, uprawnień ani tokena nonce w jednej z akcji AJAX odpowiedzialnej za przesyłanie plików multimedialnych. Umożliwia to niezalogowanym użytkownikom przesyłanie plików (ograniczonych do dozwolonych obrazów i filmów) do biblioteki multimediów oraz tworzenie wpisów załączników, co prowadzi do zaśmiecania biblioteki i wyczerpania miejsca na dysku.
- CVE-2026-13771Średnie
Wtyczka Customer Reviews for WooCommerce dla WordPressa jest podatna na przechowywany atak XSS poprzez atrybut 'color' w shortcode'u. Podatność występuje we wszystkich wersjach do 5.113.0 włącznie z powodu niedostatecznego oczyszczania danych wejściowych i braku escapowania wyjścia.