CVE-2026-89055 — Customer Reviews for WooCommerce (CusRev) Omisión de Autorización

PoC en Python 3 para CVE-2026-89055 en Customer Reviews for WooCommerce (customer-reviews-woocommerce / Ivole CusRev).

Descripción (PoCbit / GitHub)

CVE-2026-89055 — Customer Reviews for WooCommerce (CusRev) ≤ 5.120.0 es vulnerable a falta de autorización en el manejador AJAX público del formulario de reseñas local (cr_local_forms_submit). Cualquier persona con un enlace de reseña de cliente (/cusrev/{13-hex formId}/ del correo posterior al pedido) puede obtener un crSubmitNonce válido y enviar reseñas cuyo array items[].media puede contener IDs de adjuntos arbitrarios de la Biblioteca de Medios (imágenes de productos, logotipos, PDFs, etc.). Esos IDs se almacenan en los metadatos del comentario de reseña; cuando la reseña se elimina permanentemente (purga de papelera / limpieza de spam), delete_review_media_attachments() llama a wp_delete_attachment() sobre cada ID vinculado sin comprobaciones de propiedad. CVSS 3.1 9.1 Crítico (C:N/I:H/A:H). Corregido en > 5.120.0.

PoCbit

Catálogo comunitario: https://pocbit.org/pocs/

Cadena de ataque

1. Abrir {site}/cusrev/{formId}/ → leer crSubmitNonce + valores data-itemid del producto.
2. POST a admin-ajax.php: action=cr_local_forms_submit con items[n][media][]=<victim_attachment_id>.
3. El plugin crea/actualiza los metadatos del comentario de reseña de WooCommerce (ivole_reviews_locl_img / video).
4. Cuando el comentario de reseña se elimina permanentemente, el hook delete_review_media_attachments elimina cada archivo adjunto vinculado.

Este PoC realiza los pasos 1–2 sobre objetivos autorizados. El paso 4 es un evento del ciclo de vida del sitio/administrador (documentar en la salida como chain_note).

Requisitos

pip install -r requirements.txt

Python 3.8+.

Uso

# Plugin version + optional live form (nonce + item IDs)
python poc.py -u https://shop.example --mode check --form-url /cusrev/abc123def4567/

# Inject foreign attachment ID into first product line item
python poc.py -u https://shop.example --mode exploit \
  --form-id abc123def4567 --attachment-id 123 \
  --verify-url https://shop.example/wp-content/uploads/2026/01/product.jpg

# Mass: base URL per line, optional form path after |
python poc.py --list targets.example.txt --mode check -j 20 --quiet

Salida

FOFA

body="/wp-content/plugins/customer-reviews-woocommerce/"
body="/cusrev/"

Legal

Solo pruebas autorizadas.