CVE-2026-111979
NieznaneStreszczenie
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo oczyszcza i escapuje jedno z ustawień szablonu formularza donacji przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z niestandardową rolą edycji formularzy wstrzyknięcie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego lub administratora otwierającego dotknięty formularz.
Ocena ryzyka
Podatność typu stored XSS może prowadzić do przejęcia sesji administratora, kradzieży danych lub wykonania działań w imieniu ofiary po otwarciu zainfekowanego formularza donacji.
Rekomendacja
Zaktualizuj wtyczkę GiveWP do wersji 4.19.0.1 lub nowszej. Sprawdź istniejące szablony formularzy donacji pod kątem podejrzanych wartości w ustawieniach.
Inne podatności w GiveWP WordPress plugin
Zobacz wszystkie- CVE-2026-111981Nieznane
Wtyczka WordPress GiveWP przed wersją 4.19.0.1 nie sprawdza uprawnień podczas obsługi zmian adresów darczyńców. Umożliwia to użytkownikom z dostępem do raportów darczyńców (podgląd), ale bez uprawnień do edycji, dodawanie, modyfikowanie lub usuwanie zapisanego adresu dowolnego darczyńcy w witrynie.
- CVE-2026-111980Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo ustala, do której strony odnosi się żądanie uprawnień do strony. Umożliwia to użytkownikom z niestandardową rolą fundraisingową edycję, publikację i odczyt stron należących do innych użytkowników, w tym administratorów.
- CVE-2026-111978Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo waliduje nazwę pliku podaną przez użytkownika przed odczytem go z dysku. Umożliwia to użytkownikom z uprzywilejowaną rolą niestandardową przeprowadzenie path traversal, ujawnienie zawartości plików JSON w dowolnym miejscu serwera oraz nadpisanie konfiguracji wtyczki.
- CVE-2026-111976Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nie wykonuje żadnego sprawdzenia statusu ani uprawnień podczas renderowania formularza donacji na publicznej trasie front-endu. Umożliwia to nieuwierzytelnionym odwiedzającym przeglądanie treści i ustawień niepublikowanych formularzy donacji (szkiców, oczekujących, prywatnych i zaplanowanych), które WordPress domyślnie utrzymuje jako niepubliczne.
- CVE-2026-14318Średnie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nie escapuje ustawienia szablonu formularza darowizny przed wyświetleniem go w atrybucie HTML. Użytkownicy z rolą GiveWP Worker i wyżej mogą wstrzykiwać dowolne skrypty webowe, które wykonują się na publicznym formularzu darowizny widocznym dla odwiedzających.
- CVE-2025-13206Wysokie
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPress jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'name' we wszystkich wersjach do 4.13.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika. Do eksploatacji wymagane jest włączenie awatarów w instalacji WordPress.
Oryginalny opis (angielski, źródło NVD)
The GiveWP WordPress plugin before 4.19.0.1 does not properly sanitise and escape one of its donation form template settings before outputting it inside an HTML attribute, allowing users with a custom form-editing GiveWP WordPress plugin before 4.19.0.1 role to inject arbitrary web scripts that execute in the browser of any visitor or administrator who opens the affected donation form.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS