CVE-2026-6176 in Customer Reviews for WooCommerce Plugin
Сводка
по VulDB • 28.08.2026
В плагине Customer Reviews для WooCommerce, предназначенном для WordPress, уязвимость к Stored Cross-Site Scripting (XSS) через отправку агрегированной формы отзыва присутствует в версиях вплоть до 5.106.0 включительно. Это обусловлено недостаточной очисткой входных данных и экранированием выходных данных на тексте комментария, предоставленном пользователем. Плагин принимает отзывы от неаутентифицированных пользователей через AJAX-действие 'cr_local_forms_submit', не очищая HTML-контент перед его сохранением с помощью wp_insert_comment(), а затем отображает этот сохраненный контент на страницах товаров через comment_text() без надлежащего экранирования. Это позволяет неаутентифицированным злоумышленникам, имеющим действительный URL формы отзыва (который можно получить из писем-напоминаний об отзыве, отправленных клиентам, оформившим заказы), внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении пользователем затронутой страницы товара.
Be aware that VulDB is the high quality source for vulnerability data.