CVE-2026-11981
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka GiveWP dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 4.15.3 włącznie. Podatność wynika z braku walidacji tokena nonce w funkcji give_set_notification_status_handler(), co pozwala nieuwierzytelnionym atakującym na wyłączenie powiadomień e-mail o darowiznach poprzez sfałszowane żądanie.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może nakłonić administratora do kliknięcia w link, co spowoduje wyłączenie powiadomień e-mail o darowiznach bez jego wiedzy. Może to prowadzić do opóźnień w obsłudze darowizn i utraty zaufania darczyńców.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki GiveWP do najnowszej dostępnej wersji, która zawiera poprawkę zabezpieczającą przed atakami CSRF. Należy również rozważyć wdrożenie dodatkowych mechanizmów ochrony, takich jak tokeny anty-CSRF w formularzach administracyjnych.
Inne podatności w GiveWP
Zobacz wszystkie- CVE-2026-96333Wysokie
Podatność umożliwiająca obejście uwierzytelniania przez spoofing tożsamości w wtyczce GiveWP. Dotyczy wersji od n/a do 4.16.8.1.
- CVE-2026-106600Średnie
Wtyczka GiveWP w wersjach do 4.18.0 zawiera podatność braku autoryzacji. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-97066Średnie
Podatność Insecure Direct Object References (IDOR) w wtyczce GiveWP do wersji 4.16.9 włącznie. Niezautoryzowany użytkownik może uzyskać dostęp do obiektów bez logowania.
- CVE-2026-96834Średnie
Podatność Sensitive Data Exposure w wtyczce GiveWP do wersji 4.16.9 włącznie. Użytkownik z rolą subskrybenta może uzyskać dostęp do poufnych danych.
- CVE-2026-96830Wysokie
Wtyczka GiveWP w wersjach do 4.16.9 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Brak wymaganego logowania znacząco zwiększa ryzyko eksploatacji.
- CVE-2026-5510Średnie
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa jest podatna na trwały atak XSS poprzez shortcode 'give_form' we wszystkich wersjach do 4.14.4 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów continue_button_title i display_style, które są przekazywane przez sanitize_text_field(), ale nie są poprawnie escapowane przy wyjściu w atrybutach danych HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-65464Średnie
Wtyczka GiveWP w wersji 4.16.3 i starszych jest podatna na nieuwierzytelnione Cross Site Request Forgery (CSRF). Atakujący może nakłonić administratora do wykonania niechcianych działań.
- CVE-2026-97196Krytyczne
Podatność nieprawidłowej walidacji niebezpiecznej równoważności w wejściu w wtyczce GiveWP firmy Liquid Web / StellarWP umożliwia ominięcie uwierzytelniania. Problem dotyczy wersji od n/a do 4.16.9.
- CVE-2026-82222Krytyczne
Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.
- CVE-2026-104672Wysokie
Podatność Unauthenticated Cross Site Scripting (XSS) w GiveWP do wersji 4.17.0 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwego skryptu do stron wyświetlanych innym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
The GiveWP plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 4.15.3 This is due to missing nonce validation on the give_set_notification_status_handler() function. This makes it possible for unauthenticated attackers to disable donation email notifications via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS