CVE-2026-97663: Stored XSS в Customer Reviews for WooCommerce до версии 5.122.0

Введение

В популярном WordPress-плагине Customer Reviews for WooCommerce, разработанном ivole, выявлена уязвимость класса Stored Cross-Site Scripting (XSS). Проблема затрагивает версии плагина вплоть до 5.122.0 включительно и связана с недостаточной санитизацией входных данных и экранированием вывода в поле имени автора комментария.

Подробности

Уязвимость CVE-2026-97663 имеет уровень критичности HIGH с базовой оценкой CVSS 7.2. Она затрагивает плагин Customer Reviews for WooCommerce для WordPress во всех версиях до 5.122.0 включительно.

Причина уязвимости — недостаточная очистка входных данных и экранирование вывода в поле имени автора комментария (Comment Author Name). Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом обращении пользователя к скомпрометированной странице.

Для эксплуатации уязвимости требуется, чтобы была включена функция прикрепления изображений (ivole_attach_image). При её активации неаутентифицированные атакующие получают возможность одновременно отправить отзыв с именем автора, содержащим вредоносный код в entity-кодировке, и загрузить прикреплённое изображение через публично доступную конечную точку wp_ajax_nopriv_cr_upload_local_images_frontend. Такое сочетание действий обходит существующие механизмы защиты и приводит к сохранению вредоносного скрипта в базе данных сайта.

Поскольку XSS-скрипт сохраняется на сервере, он будет выполняться в браузерах всех пользователей, открывающих заражённую страницу, что может привести к краже сессионных данных, подмене контента или перенаправлению на сторонние ресурсы.

Что делать

Рекомендуется как можно скорее обновить плагин Customer Reviews for WooCommerce до версии выше 5.122.0 — исправленная сборка должна быть выпущена разработчиком ivole. Перед обновлением обязательно сделайте резервную копию сайта и базы данных.

Если обновление невозможно в кратчайшие сроки, рассмотрите следующие временные меры:

• отключите функцию прикрепления изображений (ivole_attach_image), так как её использование — обязательное условие для эксплуатации уязвимости;
• проверьте уже опубликованные отзывы и комментарии на наличие подозрительных имён авторов или внедрённых скриптов и удалите их;
• ограничьте доступ неаутентифицированных пользователей к функционалу загрузки изображений через настройки веб-сервера или WAF;
• включите строгую политику безопасности контента (CSP) для снижения риска выполнения внедрённых скриптов.

Также рекомендуется усилить мониторинг журналов веб-сервера на предмет подозрительных запросов к эндпоинту wp_ajax_nopriv_cr_upload_local_images_frontend.

Итог

CVE-2026-97663 представляет серьёзную угрозу для магазинов на WooCommerce, использующих плагин отзывов ivole с включённой загрузкой изображений. Неаутентифицированный характер эксплуатации и сохранение полезной нагрузки делают эту уязвимость особенно опасной. Первоочередная мера — обновление плагина до версии выше 5.122.0; при отсутствии такой возможности следует немедленно отключить функцию прикрепления изображений и проверить существующий контент на признаки компрометации.

Источник: CVE Project (cvelistV5)