CVE-2026-118083

Wtyczka WordPress WP Crowdfunding w wersjach do 2.2.2 zawiera podatność Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt wykonywany w przeglądarce użytkownika.

Wtyczka WP Crowdfunding dla WordPressa jest podatna na trwały atak XSS przez parametr 'first_name' we wszystkich wersjach do 2.2.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Administrator przeglądający profil dowolnego użytkownika przez parametr ?show_user_id= wyrenderuje zapisany payload atakującego w sesji przeglądarki administratora, umożliwiając wykonanie skryptów z podniesionymi uprawnieniami.

Wtyczka WP Crowdfunding dla WordPressa jest podatna na wstrzykiwanie SQL przez meta pole 'wpneo_reward' we wszystkich wersjach do 2.2.1 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie menedżera sklepu mogą dodać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy. Jest to wstrzyknięcie drugiego rzędu, gdzie złośliwy ładunek jest zapisywany przez REST API, a wykonuje się przy każdym publicznym wyświetleniu strony.

Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie sprawdza uprawnień do tworzenia kampanii w jednej z akcji AJAX. Każdy zalogowany użytkownik, np. subskrybent, może tworzyć posty kampanii crowdfundingowych, mimo że nie ma do tego uprawnień.

Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie weryfikuje własności zamówienia przed zwróceniem szczegółów zamówienia. Każdy zalogowany użytkownik, np. subskrybent, może czytać dane osobowe dowolnego zamówienia WooCommerce i wyliczyć wszystkie zamówienia w sklepie.

Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie weryfikuje własności kampanii przed umożliwieniem modyfikacji jej historii aktualizacji i wysłania e-maila do wspierających. Każdy zalogowany użytkownik, np. subskrybent, może zmieniać kampanie innych użytkowników.