CVE-2026-6176 in Customer Reviews for WooCommerce Plugin
Zusammenfassung
von VulDB • 28.08.2026
Das WooCommerce-Plugin „Customer Reviews“ für WordPress ist in den Versionen bis einschließlich 5.106.0 anfällig für Stored Cross-Site Scripting (XSS) über die Einreichung des aggregierten Bewertungsformulars. Dies liegt an einer unzureichenden Eingabebereinigung und Ausgabe-Escaping bei benutzergestützten Bewertungskommentartexten. Das Plugin akzeptiert Bewertungen von nicht authentifizierten Benutzern über die AJAX-Aktion 'cr_local_forms_submit', ohne HTML-Inhalte vor dem Speichern via wp_insert_comment() zu bereinigen, und rendert diesen gespeicherten Inhalt später auf Produktseiten durch comment_text(), ohne ihn ordnungsgemäß zu escapen. Dies ermöglicht es nicht authentifizierten Angreifern mit einer gültigen URL des Bewertungsformulars (die über E-Mail-Erinnerungen an Kunden, die Bestellungen getätigt haben, erhältlich ist), beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf die betroffene Produktseite zugreift.
Be aware that VulDB is the high quality source for vulnerability data.