CVE-2026-89055 — Contournement d'autorisation dans Customer Reviews for WooCommerce (CusRev)

PoC Python 3 pour CVE-2026-89055 dans Customer Reviews for WooCommerce (customer-reviews-woocommerce / Ivole CusRev).

Description (PoCbit / GitHub)

CVE-2026-89055 — Customer Reviews for WooCommerce (CusRev) ≤ 5.120.0 est vulnérable à une autorisation manquante sur le gestionnaire AJAX public du formulaire d'avis local (cr_local_forms_submit). Toute personne disposant d'un lien d'avis client (/cusrev/{formId hex 13}/ issu de l'e-mail de post-commande) peut obtenir un crSubmitNonce valide et soumettre des avis dont le tableau items[].media peut contenir des ID de pièces jointes arbitraires de la médiathèque (images produit, logos, PDF, etc.). Ces ID sont stockés dans les métadonnées du commentaire d'avis ; lorsque l'avis est supprimé définitivement (purge de la corbeille / nettoyage des spams), delete_review_media_attachments() appelle wp_delete_attachment() sur chaque ID lié sans vérification de propriété. CVSS 3.1 9.1 Critique (C:N/I:H/A:H). Corrigé dans > 5.120.0.

PoCbit

Catalogue communautaire : https://pocbit.org/pocs/

Chaîne d'attaque

1. Ouvrir {site}/cusrev/{formId}/ → lire crSubmitNonce + les valeurs data-itemid du produit.
2. POST vers admin-ajax.php : action=cr_local_forms_submit avec items[n][media][]=<victim_attachment_id>.
3. Le plugin crée/met à jour les métadonnées du commentaire d'avis WooCommerce (ivole_reviews_locl_img / vidéo).
4. Lorsque le commentaire d'avis est supprimé définitivement, le hook delete_review_media_attachments supprime chaque fichier de pièce jointe lié.

Ce PoC exécute les étapes 1–2 sur des cibles autorisées. L'étape 4 est un événement du cycle de vie du site/de l'administrateur (documenté dans la sortie sous chain_note).

Prérequis

pip install -r requirements.txt

Python 3.8+.

Utilisation

# Plugin version + optional live form (nonce + item IDs)
python poc.py -u https://shop.example --mode check --form-url /cusrev/abc123def4567/

# Inject foreign attachment ID into first product line item
python poc.py -u https://shop.example --mode exploit \
  --form-id abc123def4567 --attachment-id 123 \
  --verify-url https://shop.example/wp-content/uploads/2026/01/product.jpg

# Mass: base URL per line, optional form path after |
python poc.py --list targets.example.txt --mode check -j 20 --quiet

Sortie

FOFA

body="/wp-content/plugins/customer-reviews-woocommerce/"
body="/cusrev/"

Légal

Tests autorisés uniquement.