CVE-2026-106600

Podatność Insecure Direct Object References (IDOR) w wtyczce GiveWP do wersji 4.16.9 włącznie. Niezautoryzowany użytkownik może uzyskać dostęp do obiektów bez logowania.

Podatność Sensitive Data Exposure w wtyczce GiveWP do wersji 4.16.9 włącznie. Użytkownik z rolą subskrybenta może uzyskać dostęp do poufnych danych.

Wtyczka GiveWP w wersjach do 4.16.9 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Brak wymaganego logowania znacząco zwiększa ryzyko eksploatacji.

Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa jest podatna na trwały atak XSS poprzez shortcode 'give_form' we wszystkich wersjach do 4.14.4 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów continue_button_title i display_style, które są przekazywane przez sanitize_text_field(), ale nie są poprawnie escapowane przy wyjściu w atrybutach danych HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka GiveWP w wersji 4.16.3 i starszych jest podatna na nieuwierzytelnione Cross Site Request Forgery (CSRF). Atakujący może nakłonić administratora do wykonania niechcianych działań.

Podatność nieprawidłowej walidacji niebezpiecznej równoważności w wejściu w wtyczce GiveWP firmy Liquid Web / StellarWP umożliwia ominięcie uwierzytelniania. Problem dotyczy wersji od n/a do 4.16.9.

Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.

Podatność Unauthenticated Cross Site Scripting (XSS) w GiveWP do wersji 4.17.0 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwego skryptu do stron wyświetlanych innym użytkownikom.

Wtyczka GiveWP w wersjach do 4.17.0 włącznie zawiera podatność typu Privilege Escalation, którą może wykorzystać nieuwierzytelniony atakujący.

Podatność typu Stored XSS w wtyczce GiveWP do wersji 4.17.0. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w przeglądarce administratora.