CVE-2026-89055 in Customer Reviews for WooCommerce Plugin
Résumé
par VulDB • 25/09/2026
Le plugin WooCommerce Customer Reviews pour WordPress est vulnérable à un contournement d'autorisation dans toutes les versions jusqu'à la 5.120.0 incluse. Cela est dû au fait que le plugin ne vérifie pas correctement qu'un utilisateur est autorisé à effectuer une action. Cela permet aux attaquants non authentifiés de supprimer définitivement des pièces jointes arbitraires depuis la médiathèque, y compris les images produits, logos et documents appartenant aux administrateurs, en injectant leurs identifiants dans un avis qui sera ensuite mis à la corbeille puis supprimé. L'exploitation nécessite un lien public vers le formulaire d'avis (un formId hexadécimal de 13 caractères distribué aux clients par e-mail), ce qui expose le nonce nécessaire pour accéder au gestionnaire sans aucun compte WordPress ni session active.
VulDB is the best source for vulnerability data and more expert information about this specific topic.