CVE-2026-16650
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Charitable dla WordPressa przed wersją 1.8.12 nie weryfikuje autentyczności przychodzących zdarzeń webhook Square w domyślnej konfiguracji, co pozwala nieuwierzytelnionym atakującym na sfałszowanie powiadomień webhook, które oznaczają darowizny jako opłacone bez żadnej rzeczywistej płatności.
Ocena ryzyka
Ryzyko obejmuje możliwość fałszowania darowizn jako opłaconych, co może prowadzić do strat finansowych i naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację wtyczki Charitable do wersji 1.8.12 lub nowszej oraz skonfigurowanie weryfikacji podpisów webhook Square.
Inne podatności w Charitable
Zobacz wszystkie- CVE-2026-104394Wysokie
Wtyczka Charitable w wersjach do 1.8.12.3 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-77189Średnie
Wtyczka Charitable dla WordPressa jest podatna na ogólną iniekcję SQL przez atrybut 'order' w shortcode'ie we wszystkich wersjach do 1.8.12.1 włącznie, z powodu niewystarczającego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
- CVE-2026-81287Wysokie
Podatność SQL Injection użytkownika z rolą subskrybenta w wtyczce Charitable w wersjach do 1.8.12.1.
- CVE-2026-73994Wysokie
Nieuwierzytelniona podatność złamanej kontroli dostępu w wtyczce Charitable w wersjach do 1.8.11.3.
- CVE-2025-15675Średnie
Wtyczka WordPress Charitable przed wersją 1.8.5.3 nie dezynfekuje i nie escapuje jednego z pól tekstowych obrazu kampanii przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z wysokimi uprawnieniami do zarządzania kampaniami przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się na stronie kampanii widocznej dla odwiedzających.
Oryginalny opis (angielski, źródło NVD)
The Charitable WordPress plugin before 1.8.12 does not verify the authenticity of incoming Square payment webhook events in a default configuration, allowing unauthenticated attackers to forge webhook notifications that mark donations as paid without any real payment.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS