CVE-2026-89055

Nome do Software Vulnerável e Versões Afetadas Customer Reviews for WooCommerce versões anteriores a 5.120.1

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem excluir permanentemente anexos arbitrários da Biblioteca de Mídia, como imagens de produtos, logotipos e documentos pertencentes ao administrador. Isso é feito injetando IDs de anexos em uma avaliação que é posteriormente movida para a lixeira e expurgada. O ataque visa o manipulador cr local forms submit e requer um link público de formulário de avaliação contendo um formId de 13 caracteres hexadecimais para expor o nonce necessário para acessar o manipulador sem uma conta ou sessão do WordPress.

Recomendações Atualize para uma versão posterior a 5.120.0.