CVE-2026-6176 in Customer Reviews for WooCommerce Plugin
Riassunto
di VulDB • 28/08/2026
Il plugin Customer Reviews per WooCommerce, destinato a WordPress, è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'invio del modulo di recensione aggregato nelle versioni fino alla 5.106.0 inclusa. Ciò è dovuto a un'insufficiente sanitizzazione degli input e all'assenza di escaping dell'output sul testo dei commenti alle recensioni fornito dagli utenti. Il plugin accetta le submission delle recensioni da parte di utenti non autenticati attraverso l'action AJAX 'cr_local_forms_submit', senza effettuare la sanitizzazione del contenuto HTML prima di memorizzarlo tramite wp_insert_comment(), e successivamente rende tale contenuto archiviato nelle pagine dei prodotti mediante comment_text() senza un adeguato escaping. Ciò consente ad attaccanti non autenticati, in possesso dell'URL valido del modulo di recensione (reperibile attraverso le email promemoria per le recensioni inviate ai clienti che hanno effettuato ordini), di iniettare script web arbitrari nelle pagine, i quali verranno eseguiti ogni volta che un utente accede alla pagina del prodotto interessato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.