CVE-2026-97663 in Customer Reviews for WooCommerce Plugin
要約
〜によって VulDB • 2026年10月03日
WordPress用プラグイン「Customer Reviews for WooCommerce」の全バージョン（5.122.0を含む）には、不十分な入力サニタイズおよび出力エスケープに起因する格納型クロスサイトスクリプティング（Stored XSS）の脆弱性があります。これはコメント投稿者名を介して発生します。これにより、認証されていない攻撃者は、ユーザーが注入されたページにアクセスした際に実行される任意のWebスクリプトを投稿済みのページに挿入することが可能になります。この攻撃には画像添付機能 (ivole_attach_image) が有効である必要があり、これにより認証されていない攻撃者はエンティティ符号化された悪意のある投稿者名を含むレビューを送信し、かつパブリックアクセス可能な wp_ajax_nopriv_cr_upload_local_images_frontend エンドポイントを介して添付画像をアップロードすることができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.