CVE-2026-111980
NieznaneStreszczenie
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo ustala, do której strony odnosi się żądanie uprawnień do strony. Umożliwia to użytkownikom z niestandardową rolą fundraisingową edycję, publikację i odczyt stron należących do innych użytkowników, w tym administratorów.
Ocena ryzyka
Użytkownicy o ograniczonych uprawnieniach mogą modyfikować lub publikować treści należące do administratorów, co może prowadzić do defacementu, wstrzyknięcia złośliwych treści lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę GiveWP do wersji 4.19.0.1 lub nowszej. Przejrzyj role niestandardowe i ogranicz dostęp użytkownikom, którzy nie potrzebują uprawnień do edycji stron.
Inne podatności w GiveWP WordPress plugin
Zobacz wszystkie- CVE-2026-111981Nieznane
Wtyczka WordPress GiveWP przed wersją 4.19.0.1 nie sprawdza uprawnień podczas obsługi zmian adresów darczyńców. Umożliwia to użytkownikom z dostępem do raportów darczyńców (podgląd), ale bez uprawnień do edycji, dodawanie, modyfikowanie lub usuwanie zapisanego adresu dowolnego darczyńcy w witrynie.
- CVE-2026-111979Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo oczyszcza i escapuje jedno z ustawień szablonu formularza donacji przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z niestandardową rolą edycji formularzy wstrzyknięcie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego lub administratora otwierającego dotknięty formularz.
- CVE-2026-111978Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo waliduje nazwę pliku podaną przez użytkownika przed odczytem go z dysku. Umożliwia to użytkownikom z uprzywilejowaną rolą niestandardową przeprowadzenie path traversal, ujawnienie zawartości plików JSON w dowolnym miejscu serwera oraz nadpisanie konfiguracji wtyczki.
- CVE-2026-111976Nieznane
Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nie wykonuje żadnego sprawdzenia statusu ani uprawnień podczas renderowania formularza donacji na publicznej trasie front-endu. Umożliwia to nieuwierzytelnionym odwiedzającym przeglądanie treści i ustawień niepublikowanych formularzy donacji (szkiców, oczekujących, prywatnych i zaplanowanych), które WordPress domyślnie utrzymuje jako niepubliczne.
- CVE-2026-14318Średnie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nie escapuje ustawienia szablonu formularza darowizny przed wyświetleniem go w atrybucie HTML. Użytkownicy z rolą GiveWP Worker i wyżej mogą wstrzykiwać dowolne skrypty webowe, które wykonują się na publicznym formularzu darowizny widocznym dla odwiedzających.
- CVE-2025-13206Wysokie
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPress jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'name' we wszystkich wersjach do 4.13.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika. Do eksploatacji wymagane jest włączenie awatarów w instalacji WordPress.
Oryginalny opis (angielski, źródło NVD)
The GiveWP WordPress plugin before 4.19.0.1 does not correctly determine which page a page-capability request applies to, allowing users with a custom fundraising role to edit, publish and read pages owned by other users, including administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS