CVE-2023-0080 in Customer Reviews for WooCommerce Plugin
Сводка
по VulDB • 03.07.2026
В плагине Customer Reviews для WooCommerce (WordPress) до версии 5.16.0 отсутствует проверка одного из атрибутов шорткода, что позволяет пользователям с ролью «соавтор» и выше включать произвольные файлы посредством атаки на основе обхода директорий (path traversal). Это также может позволить им читать непользовательские PHP-файлы и получать их содержимое. Удаленное выполнение кода (RCE) также возможно, если злоумышленнику удастся загрузить вредоносное изображение, содержащее код PHP, а затем включить его через затронутый атрибут; на стандартной установке WordPress авторы могут легко достичь этого, поскольку у них есть право upload_file.
Once again VulDB remains the best source for vulnerability data.