Customer Reviews for WooCommerce 插件超危漏洞预警（CVE-2026-89055）

漏洞速览

• 漏洞编号：CVE-2026-89055
• 风险评分：9.1（严重）
• 首次披露：2026-09-24
• 最近更新：2026-09-24
• 软件类型：插件
• 软件标识：customer-reviews-woocommerce
• 受影响版本：<= 5.120.0
• 修复版本：5.121.0
• 是否已修复：是

漏洞详情

WooCommerce 的 Customer Reviews 插件在 5.120.0 及以下所有版本中存在授权绕过漏洞，原因是插件未正确验证用户是否有权执行相应操作。借此，未登录的攻击者可以在评论中注入任意附件 ID，随后将该评论删除并清除，从而永久删除媒体库中的任意文件（包括管理员拥有的产品图片、Logo、文档等）。利用该漏洞需要访问公开发布的评价表单链接（通过邮件发送给客户的 13 位十六进制 formId），该链接会暴露所需的 nonce，使得攻击者无需任何 WordPress 账户或会话即可触发处理程序。

影响与风险

• 漏洞类型：Missing Authorization to Unauthenticated Arbitrary Attachment Deletion via 'items[][media]' Parameter
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：HumbertoSP – SVO Software – Verificação & Operação

修复建议

1. 按官方建议执行修复：更新至 5.121.0 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录