CVE-2026-89055 — Customer Reviews for WooCommerce (CusRev) 인가 우회

Customer Reviews for WooCommerce(customer-reviews-woocommerce / Ivole CusRev)의 **CVE-2026-89055**에 대한 Python 3 PoC입니다.

설명 (PoCbit / GitHub)

CVE-2026-89055 — Customer Reviews for WooCommerce (CusRev) ≤ 5.120.0은 공개 로컬 리뷰 양식 AJAX 핸들러(cr_local_forms_submit)에서 인가 누락 취약점이 있습니다. 고객 리뷰 링크(주문 후 이메일의 /cusrev/{13-hex formId}/)를 가진 누구나 유효한 **crSubmitNonce**를 획득하고, items[].media 배열에 임의의 미디어 라이브러리 첨부 파일 ID(제품 이미지, 로고, PDF 등)를 포함하는 리뷰를 제출할 수 있습니다. 해당 ID는 리뷰 댓글 메타에 저장되며, 리뷰가 영구 삭제될 때(휴지통 비우기 / 스팸 정리), **delete_review_media_attachments()**가 각 연결된 ID에 대해 소유권 확인 없이 **wp_delete_attachment()**를 호출합니다. CVSS 3.1 9.1 Critical(C:N/I:H/A:H). > 5.120.0에서 수정되었습니다.

PoCbit

커뮤니티 카탈로그: https://pocbit.org/pocs/

공격 체인

1. {site}/cusrev/{formId}/를 엽니다 → crSubmitNonce + 제품 data-itemid 값을 읽습니다.
2. admin-ajax.php에 POST: action=cr_local_forms_submit과 함께 items[n][media][]=<victim_attachment_id>를 전송합니다.
3. 플러그인이 WooCommerce 리뷰 댓글 메타(ivole_reviews_locl_img / video)를 생성/업데이트합니다.
4. 리뷰 댓글이 영구적으로 제거되면, 후킹된 **delete_review_media_attachments**가 연결된 모든 첨부 파일을 삭제합니다.

이 PoC는 인가된 대상에 대해 1–2 단계를 수행합니다. 4 단계는 사이트/관리자 라이프사이클 이벤트입니다(출력에 chain_note로 문서화).

요구 사항

pip install -r requirements.txt

Python 3.8+.

사용법

# Plugin version + optional live form (nonce + item IDs)
python poc.py -u https://shop.example --mode check --form-url /cusrev/abc123def4567/

# Inject foreign attachment ID into first product line item
python poc.py -u https://shop.example --mode exploit \
  --form-id abc123def4567 --attachment-id 123 \
  --verify-url https://shop.example/wp-content/uploads/2026/01/product.jpg

# Mass: base URL per line, optional form path after |
python poc.py --list targets.example.txt --mode check -j 20 --quiet

출력

FOFA

body="/wp-content/plugins/customer-reviews-woocommerce/"
body="/cusrev/"

법적 고지

인가된 테스트에만 사용하십시오.