CVE-2026-13704
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka GiveWP dla WordPressa jest podatna na trwałe ataki XSS poprzez parametr 'sequoia[introduction][image]' w wersjach do 4.16.1 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i wyjściowych.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie Give Worker lub wyższym może wstrzyknąć dowolny skrypt, który wykona się przy każdej wizycie użytkownika na zainfekowanej stronie. Może to prowadzić do kradzieży sesji, defacementu lub przejęcia konta administratora.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę GiveWP do wersji 4.16.2 lub nowszej. Ograniczyć przywileje użytkowników do niezbędnego minimum i regularnie audytować role dostępu.
Inne podatności w GiveWP
Zobacz wszystkie- CVE-2026-5510Średnie
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa jest podatna na trwały atak XSS poprzez shortcode 'give_form' we wszystkich wersjach do 4.14.4 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów continue_button_title i display_style, które są przekazywane przez sanitize_text_field(), ale nie są poprawnie escapowane przy wyjściu w atrybutach danych HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-65464Średnie
Wtyczka GiveWP w wersji 4.16.3 i starszych jest podatna na nieuwierzytelnione Cross Site Request Forgery (CSRF). Atakujący może nakłonić administratora do wykonania niechcianych działań.
- CVE-2026-82222Krytyczne
Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.
- CVE-2026-73352Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach do 4.16.5.1. Atak nie wymaga uwierzytelnienia.
- CVE-2026-73348Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach wcześniejszych niż 4.16.6. Atak nie wymaga uwierzytelnienia.
- CVE-2026-73357Średnie
Podatność typu Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach starszych niż 4.16.6, dotycząca dawców.
- CVE-2026-73349Średnie
Nieuwierzytelniona podatność Broken Access Control w wtyczce GiveWP w wersjach starszych niż 4.16.6.
- CVE-2026-66690Wysokie
Podatność Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach do 4.16.5, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
- CVE-2026-14319Wysokie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nieprawidłowo ogranicza dostęp do punktu końcowego REST API, który zwraca rekordy cyklicznych darowizn. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie informacji o anonimowych cyklicznych darczyńcach, w tym ich nazwisk i szczegółów subskrypcji.
- CVE-2026-14317Średnie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nie ogranicza zestawu dostępnych bramek płatności do tych włączonych przez administratora, czerpiąc go częściowo z danych wejściowych żądania. Umożliwia to nieuwierzytelnionym użytkownikom finalizowanie darowizn za pomocą bramki płatności, którą administrator wyłączył.
Oryginalny opis (angielski, źródło NVD)
The GiveWP – Donation Plugin and Fundraising Platform plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'sequoia[introduction][image]' parameter in all versions up to, and including, 4.16.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Give Worker-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.