CVE-2026-10038

ŚrednieCVSS 4.3

Opublikowano: 06/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka Charitable – Donation Plugin dla WordPress do wersji 1.8.11.1 zawiera podatność na Insecure Direct Object Reference (IDOR) w przepływie aktualizacji awatara profilu. Funkcja save_avatar() usuwa załącznik na podstawie ID z meta 'avatar' bez weryfikacji własności, a proces_picture() zwraca surową wartość, co pozwala na zatrucie meta i usunięcie dowolnego załącznika. Atak wymaga dostępu na poziomie Subscriber lub wyższym.

Ocena ryzyka

Atakujący może usunąć dowolne załączniki z biblioteki multimediów, co może prowadzić do utraty ważnych plików, w tym obrazów, dokumentów i innych zasobów witryny.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Charitable do najnowszej wersji oraz ograniczenie uprawnień użytkowników.

Inne podatności w Charitable – Donation Plugin

CVE-2025-11893Średnie
Wtyczka Charitable – Donation Plugin dla WordPressa jest podatna na wstrzyknięcie SQL przez parametr donation_ids we wszystkich wersjach do 1.8.8.4 włącznie, z powodu niewystarczającego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej, dołączanie dodatkowych zapytań SQL do istniejących, co może służyć do wyodrębnienia wrażliwych informacji z bazy danych. Eksploatacja wymaga płatnej darowizny.

Oryginalny opis (angielski, źródło NVD)

The Charitable – Donation Plugin for WordPress – Fundraising with Recurring Donations & More plugin for WordPress is vulnerable to Insecure Direct Object Reference / Authorization Bypass leading to Arbitrary Attachment Deletion in versions up to, and including, 1.8.11.1 via the profile avatar update flow. This is due to the save_avatar() function in Charitable_Profile_Form calling wp_delete_attachment() on an attachment ID read from the user's 'avatar' meta without validating that the attachment is owned by the user, combined with Charitable_Data_Processor::process_picture() returning the raw posted value when no file is uploaded, allowing the 'avatar' user meta to be poisoned with any attacker-chosen attachment ID. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary attachments from the Media Library by performing a two-request chain (first poisoning the stored avatar meta value with a target attachment ID, then triggering deletion via a normal avatar upload).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS