CVE-2026-4664: 身份验证绕过在 WooCommerce 客户评论插件

攻击者可以利用此身份验证绕过漏洞，创建虚假评论或恶意内容，损害网站的信誉和用户体验。攻击者可能利用此漏洞操纵产品评分，进行恶意营销活动，或传播虚假信息。由于 WooCommerce 插件广泛使用，此漏洞可能影响大量 WordPress 网站，造成广泛的安全风险。如果攻击者能够成功绕过身份验证，他们可能还可以访问其他敏感数据或执行其他恶意操作，具体取决于插件的权限设置。

Websites using the Customer Reviews for WooCommerce plugin, particularly those with a large number of customer reviews or those relying heavily on customer feedback for sales. Shared hosting environments are also at increased risk, as vulnerabilities in plugins can affect multiple websites on the same server.

• wordpress / composer / npm:

grep -r "create_review_permissions_check" /var/www/html/wp-content/plugins/customer-reviews-for-woocommerce/

• wordpress / composer / npm:

wp plugin list --status=all | grep customer-reviews-for-woocommerce

• wordpress / composer / npm:

wp plugin update customer-reviews-for-woocommerce --all

1. 2026-04-10Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-04-10
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-17

最有效的缓解措施是立即将 WooCommerce 客户评论插件升级到 5.104.0 或更高版本。如果升级会导致兼容性问题，可以考虑回滚到之前的稳定版本，但请注意这只是临时解决方案。此外，建议实施 Web 应用防火墙 (WAF) 规则，以检测和阻止可疑的身份验证绕过尝试。监控插件的日志文件，查找异常活动，例如未经授权的评论创建。定期审查插件的权限设置，确保其遵循最小权限原则。