CVE-2025-13206
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPress jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'name' we wszystkich wersjach do 4.13.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika. Do eksploatacji wymagane jest włączenie awatarów w instalacji WordPress.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających stronę, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę GiveWP do wersji nowszej niż 4.13.0 i rozważ wyłączenie awatarów do czasu wdrożenia poprawki.
Inne podatności w GiveWP WordPress plugin
Zobacz wszystkie- CVE-2026-111981Nieznane
Wtyczka WordPress GiveWP przed wersją 4.19.0.1 nie sprawdza uprawnień podczas obsługi zmian adresów darczyńców. Umożliwia to użytkownikom z dostępem do raportów darczyńców (podgląd), ale bez uprawnień do edycji, dodawanie, modyfikowanie lub usuwanie zapisanego adresu dowolnego darczyńcy w witrynie.
- CVE-2026-111980Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo ustala, do której strony odnosi się żądanie uprawnień do strony. Umożliwia to użytkownikom z niestandardową rolą fundraisingową edycję, publikację i odczyt stron należących do innych użytkowników, w tym administratorów.
- CVE-2026-111979Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo oczyszcza i escapuje jedno z ustawień szablonu formularza donacji przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z niestandardową rolą edycji formularzy wstrzyknięcie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego lub administratora otwierającego dotknięty formularz.
- CVE-2026-111978Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo waliduje nazwę pliku podaną przez użytkownika przed odczytem go z dysku. Umożliwia to użytkownikom z uprzywilejowaną rolą niestandardową przeprowadzenie path traversal, ujawnienie zawartości plików JSON w dowolnym miejscu serwera oraz nadpisanie konfiguracji wtyczki.
- CVE-2026-111976Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nie wykonuje żadnego sprawdzenia statusu ani uprawnień podczas renderowania formularza donacji na publicznej trasie front-endu. Umożliwia to nieuwierzytelnionym odwiedzającym przeglądanie treści i ustawień niepublikowanych formularzy donacji (szkiców, oczekujących, prywatnych i zaplanowanych), które WordPress domyślnie utrzymuje jako niepubliczne.
- CVE-2026-14318Średnie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nie escapuje ustawienia szablonu formularza darowizny przed wyświetleniem go w atrybucie HTML. Użytkownicy z rolą GiveWP Worker i wyżej mogą wstrzykiwać dowolne skrypty webowe, które wykonują się na publicznym formularzu darowizny widocznym dla odwiedzających.
Oryginalny opis (angielski, źródło NVD)
The GiveWP – Donation Plugin and Fundraising Platform plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘name’ parameter in all versions up to, and including, 4.13.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Avatars must be enabled in the WordPress install in order to exploit the vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS