CVE-2026-89055 — Customer Reviews for WooCommerce (CusRev) Authorization Bypass

PoC in Python 3 per CVE-2026-89055 in Customer Reviews for WooCommerce (customer-reviews-woocommerce / Ivole CusRev).

Descrizione (PoCbit / GitHub)

CVE-2026-89055 — Customer Reviews for WooCommerce (CusRev) ≤ 5.120.0 è vulnerabile a missing authorization sull'handler AJAX pubblico del form di recensione locale (cr_local_forms_submit). Chiunque disponga di un link di recensione cliente (/cusrev/{13-hex formId}/ dall'email post-ordine) può ottenere un crSubmitNonce valido e inviare recensioni il cui array items[].media può contenere ID di allegati arbitrari della Media Library (immagini prodotto, loghi, PDF, ecc.). Tali ID vengono memorizzati nei meta del commento della recensione; quando la recensione viene eliminata definitivamente (svuotamento cestino / pulizia spam), delete_review_media_attachments() invoca wp_delete_attachment() su ciascun ID collegato senza controlli di proprietà. CVSS 3.1 9.1 Critical (C:N/I:H/A:H). Corretto in > 5.120.0.

PoCbit

Catalogo della community: https://pocbit.org/pocs/

Catena di attacco

1. Apri {site}/cusrev/{formId}/ → leggi crSubmitNonce + i valori data-itemid del prodotto.
2. POST verso admin-ajax.php: action=cr_local_forms_submit con items[n][media][]=<victim_attachment_id>.
3. Il plugin crea/aggiorna i meta del commento della recensione WooCommerce (ivole_reviews_locl_img / video).
4. Quando il commento della recensione viene rimosso definitivamente, l'hook delete_review_media_attachments elimina ogni file allegato collegato.

Questa PoC esegue i passi 1–2 su target autorizzati. Il passo 4 è un evento del ciclo di vita del sito/admin (documentato nell'output come chain_note).

Requisiti

pip install -r requirements.txt

Python 3.8+.

Utilizzo

# Plugin version + optional live form (nonce + item IDs)
python poc.py -u https://shop.example --mode check --form-url /cusrev/abc123def4567/

# Inject foreign attachment ID into first product line item
python poc.py -u https://shop.example --mode exploit \
  --form-id abc123def4567 --attachment-id 123 \
  --verify-url https://shop.example/wp-content/uploads/2026/01/product.jpg

# Mass: base URL per line, optional form path after |
python poc.py --list targets.example.txt --mode check -j 20 --quiet

Output

FOFA

body="/wp-content/plugins/customer-reviews-woocommerce/"
body="/cusrev/"

Note legali

Solo test autorizzati.