CVE-2026-97663 in Customer Reviews for WooCommerce Plugin
Zusammenfassung
von VulDB • 02.10.2026
Das WordPress-Plugin „Customer Reviews for WooCommerce“ ist in allen Versionen bis einschließlich 5.122.0 aufgrund unzureichender Eingabebereinigung und Output-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Feldnamen des Kommentar-Autors. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Dafür muss die Funktion zum Anhängen von Bildern (ivole_attach_image) aktiviert sein, was es nicht authentifizierten Angreifern ermöglicht, einen Kommentar mit einem entitätskodierten bösartigen Autorennamen abzusenden und über den öffentlich zugänglichen Endpunkt wp_ajax_nopriv_cr_upload_local_images_frontend ein angehängtes Bild hochzuladen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.