CVE-2026-6176 in Customer Reviews for WooCommerce Plugin
要約
〜によって VulDB • 2026年08月28日
WordPress用WooCommerceプラグイン「Customer Reviews」には、バージョン5.106.0以前において、集約されたレビューフォームの送信を介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、ユーザー入力の検証および出力エスケープが不十分であるためです。このプラグインは、wp_insert_comment()を使用してHTMLコンテンツを検証せずに保存する前に、認証されていないユーザーからのレビュー送信を 'cr_local_forms_submit' AJAXアクションを通じて受け付けます。その後、comment_text()関数によって製品ページ上でこの保存されたコンテンツが適切なエスケープなしでレンダリングされます。これにより、注文を行った顧客に送られるリマインダーメールから入手可能な有効なレビューフォームURLを持つ認証されていない攻撃者が、影響を受ける製品ページにアクセスした際に実行される任意のウェブスクリプトをページ中に注入することが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.