CVE-2026-111976
NieznaneStreszczenie
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nie wykonuje żadnego sprawdzenia statusu ani uprawnień podczas renderowania formularza donacji na publicznej trasie front-endu. Umożliwia to nieuwierzytelnionym odwiedzającym przeglądanie treści i ustawień niepublikowanych formularzy donacji (szkiców, oczekujących, prywatnych i zaplanowanych), które WordPress domyślnie utrzymuje jako niepubliczne.
Ocena ryzyka
Nieuwierzytelnieni użytkownicy mogą uzyskać dostęp do niezamierzonych do publikacji treści i ustawień formularzy, co może ujawnić informacje wewnętrzne lub wrażliwe dane konfiguracyjne.
Rekomendacja
Zaktualizuj wtyczkę GiveWP do wersji 4.19.0.1 lub nowszej. Sprawdź, czy niepublikowane formularze nie zawierają wrażliwych informacji.
Inne podatności w GiveWP WordPress plugin
Zobacz wszystkie- CVE-2026-111981Nieznane
Wtyczka WordPress GiveWP przed wersją 4.19.0.1 nie sprawdza uprawnień podczas obsługi zmian adresów darczyńców. Umożliwia to użytkownikom z dostępem do raportów darczyńców (podgląd), ale bez uprawnień do edycji, dodawanie, modyfikowanie lub usuwanie zapisanego adresu dowolnego darczyńcy w witrynie.
- CVE-2026-111980Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo ustala, do której strony odnosi się żądanie uprawnień do strony. Umożliwia to użytkownikom z niestandardową rolą fundraisingową edycję, publikację i odczyt stron należących do innych użytkowników, w tym administratorów.
- CVE-2026-111979Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo oczyszcza i escapuje jedno z ustawień szablonu formularza donacji przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z niestandardową rolą edycji formularzy wstrzyknięcie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego lub administratora otwierającego dotknięty formularz.
- CVE-2026-111978Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo waliduje nazwę pliku podaną przez użytkownika przed odczytem go z dysku. Umożliwia to użytkownikom z uprzywilejowaną rolą niestandardową przeprowadzenie path traversal, ujawnienie zawartości plików JSON w dowolnym miejscu serwera oraz nadpisanie konfiguracji wtyczki.
- CVE-2026-14318Średnie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nie escapuje ustawienia szablonu formularza darowizny przed wyświetleniem go w atrybucie HTML. Użytkownicy z rolą GiveWP Worker i wyżej mogą wstrzykiwać dowolne skrypty webowe, które wykonują się na publicznym formularzu darowizny widocznym dla odwiedzających.
- CVE-2025-13206Wysokie
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPress jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'name' we wszystkich wersjach do 4.13.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika. Do eksploatacji wymagane jest włączenie awatarów w instalacji WordPress.
Oryginalny opis (angielski, źródło NVD)
The GiveWP WordPress plugin before 4.19.0.1 does not perform any status or capability check when rendering a donation form on a public front-end route, allowing unauthenticated visitors to view the content and settings of unpublished (draft, pending, private and scheduled) donation forms that WordPress core otherwise keeps non-public.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS