CVE-2025-11228
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka GiveWP – Donation Plugin i Fundraising Platform dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji registerAssociateFormsWithCampaign we wszystkich wersjach do 4.10.0 włącznie. Umożliwia to nieuwierzytelnionym atakującym powiązanie dowolnych formularzy darowizn z dowolną kampanią.
Ocena ryzyka
Ryzyko manipulacji danymi kampanii i formularzy, co może prowadzić do nieprawidłowego działania systemu darowizn lub utraty integralności danych.
Rekomendacja
Zaktualizuj wtyczkę GiveWP do najnowszej wersji, która zawiera poprawkę, lub ogranicz dostęp do funkcji rejestracji formularzy.
Inne podatności w GiveWP
Zobacz wszystkie- CVE-2026-96333Wysokie
Podatność umożliwiająca obejście uwierzytelniania przez spoofing tożsamości w wtyczce GiveWP. Dotyczy wersji od n/a do 4.16.8.1.
- CVE-2026-106600Średnie
Wtyczka GiveWP w wersjach do 4.18.0 zawiera podatność braku autoryzacji. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-97066Średnie
Podatność Insecure Direct Object References (IDOR) w wtyczce GiveWP do wersji 4.16.9 włącznie. Niezautoryzowany użytkownik może uzyskać dostęp do obiektów bez logowania.
- CVE-2026-96834Średnie
Podatność Sensitive Data Exposure w wtyczce GiveWP do wersji 4.16.9 włącznie. Użytkownik z rolą subskrybenta może uzyskać dostęp do poufnych danych.
- CVE-2026-96830Wysokie
Wtyczka GiveWP w wersjach do 4.16.9 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Brak wymaganego logowania znacząco zwiększa ryzyko eksploatacji.
- CVE-2026-5510Średnie
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa jest podatna na trwały atak XSS poprzez shortcode 'give_form' we wszystkich wersjach do 4.14.4 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów continue_button_title i display_style, które są przekazywane przez sanitize_text_field(), ale nie są poprawnie escapowane przy wyjściu w atrybutach danych HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-65464Średnie
Wtyczka GiveWP w wersji 4.16.3 i starszych jest podatna na nieuwierzytelnione Cross Site Request Forgery (CSRF). Atakujący może nakłonić administratora do wykonania niechcianych działań.
- CVE-2026-97196Krytyczne
Podatność nieprawidłowej walidacji niebezpiecznej równoważności w wejściu w wtyczce GiveWP firmy Liquid Web / StellarWP umożliwia ominięcie uwierzytelniania. Problem dotyczy wersji od n/a do 4.16.9.
- CVE-2026-82222Krytyczne
Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.
- CVE-2026-104672Wysokie
Podatność Unauthenticated Cross Site Scripting (XSS) w GiveWP do wersji 4.17.0 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwego skryptu do stron wyświetlanych innym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
The GiveWP – Donation Plugin and Fundraising Platform plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the `registerAssociateFormsWithCampaign` function in all versions up to, and including, 4.10.0. This makes it possible for unauthenticated attackers to associate any donation forms with any campaign.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS