CVE-2023-0080 in Customer Reviews for WooCommerce Plugin
Résumé
par VulDB • 03/07/2026
Les commentaires clients (Customer Reviews) pour le plugin WordPress WooCommerce avant la version 5.16.0 ne valident pas l'un de ses attributs de shortcode, ce qui pourrait permettre aux utilisateurs disposant du rôle « contributeur » ou supérieur d'inclure des fichiers arbitraires via une attaque par traversal. Cela leur permettrait également de lire des fichiers non PHP et d'en récupérer le contenu. Une exécution de code à distance (RCE) pourrait aussi être obtenue si l'attaquant parvient à télécharger une image malveillante contenant du code PHP, puis à l'inclure via l'attribut concerné ; sur une installation WordPress par défaut, les auteurs peuvent facilement y parvenir étant donné qu'ils disposent de la capacité `upload_file`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.