WooCommerce 客户评价插件曝出存储型跨站脚本（XSS）漏洞，该插件安装量超8万。Wordfence 公告指出，未经身份验证的攻击者可利用此缺陷注入恶意脚本，建议用户立即升级至安全版本。
WooCommerce 客户评价插件漏洞详情
WooCommerce 客户评价插件主要用于向顾客发送评价提醒邮件及提升品牌互动。据 Wordfence 披露，该插件所有版本（含5.80.2及更早版本）均存在存储型 XSS 漏洞。攻击者可将任意 Web 脚本注入页面，当其他用户访问受影响页面时，恶意脚本将自动执行。
该漏洞根源在于输入清理与输出转义机制不足。作为 WordPress 基础安全措施，输入清理用于校验数据合法性并移除危险内容，输出转义则确保生成的特殊字符不可被执行。当前版本未能有效落实这两项防护，导致安全风险暴露。
官方建议所有使用该插件的用户尽快更新至 5.81.0 或更高版本，以修复上述安全隐患。