CVE-2025-15675
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Charitable przed wersją 1.8.5.3 nie dezynfekuje i nie escapuje jednego z pól tekstowych obrazu kampanii przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z wysokimi uprawnieniami do zarządzania kampaniami przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się na stronie kampanii widocznej dla odwiedzających.
Ocena ryzyka
Atak XSS może pozwolić na kradzież sesji użytkowników, przekierowanie do złośliwych stron lub kradzież danych wrażliwych, co zagraża bezpieczeństwu odwiedzających i reputacji organizacji.
Rekomendacja
Należy zaktualizować wtyczkę Charitable do wersji 1.8.5.3 lub nowszej, która zawiera odpowiednie zabezpieczenia przed XSS. Dodatkowo warto ograniczyć uprawnienia do zarządzania kampaniami tylko dla zaufanych użytkowników.
Inne podatności w Charitable
Zobacz wszystkie- CVE-2026-104394Wysokie
Wtyczka Charitable w wersjach do 1.8.12.3 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-77189Średnie
Wtyczka Charitable dla WordPressa jest podatna na ogólną iniekcję SQL przez atrybut 'order' w shortcode'ie we wszystkich wersjach do 1.8.12.1 włącznie, z powodu niewystarczającego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
- CVE-2026-81287Wysokie
Podatność SQL Injection użytkownika z rolą subskrybenta w wtyczce Charitable w wersjach do 1.8.12.1.
- CVE-2026-16650Średnie
Wtyczka Charitable dla WordPressa przed wersją 1.8.12 nie weryfikuje autentyczności przychodzących zdarzeń webhook Square w domyślnej konfiguracji, co pozwala nieuwierzytelnionym atakującym na sfałszowanie powiadomień webhook, które oznaczają darowizny jako opłacone bez żadnej rzeczywistej płatności.
- CVE-2026-73994Wysokie
Nieuwierzytelniona podatność złamanej kontroli dostępu w wtyczce Charitable w wersjach do 1.8.11.3.
Oryginalny opis (angielski, źródło NVD)
The Charitable WordPress plugin before 1.8.5.3 does not sanitise and escape one of its campaign image text fields before outputting it in an HTML attribute, allowing users with a high-privilege campaign-management role to perform Stored Cross-Site Scripting attacks that execute on the front-end campaign page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS