CVE-2026-16650
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Charitable dla WordPressa przed wersją 1.8.12 nie weryfikuje autentyczności przychodzących zdarzeń webhook Square w domyślnej konfiguracji, co pozwala nieuwierzytelnionym atakującym na sfałszowanie powiadomień webhook, które oznaczają darowizny jako opłacone bez żadnej rzeczywistej płatności.
Ocena ryzyka
Ryzyko obejmuje możliwość fałszowania darowizn jako opłaconych, co może prowadzić do strat finansowych i naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację wtyczki Charitable do wersji 1.8.12 lub nowszej oraz skonfigurowanie weryfikacji podpisów webhook Square.
Inne podatności w Charitable
Zobacz wszystkie- CVE-2026-73994Wysokie
Nieuwierzytelniona podatność złamanej kontroli dostępu w wtyczce Charitable w wersjach do 1.8.11.3.
- CVE-2025-15675Średnie
Wtyczka WordPress Charitable przed wersją 1.8.5.3 nie dezynfekuje i nie escapuje jednego z pól tekstowych obrazu kampanii przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z wysokimi uprawnieniami do zarządzania kampaniami przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się na stronie kampanii widocznej dla odwiedzających.
Oryginalny opis (angielski, źródło NVD)
The Charitable WordPress plugin before 1.8.12 does not verify the authenticity of incoming Square payment webhook events in a default configuration, allowing unauthenticated attackers to forge webhook notifications that mark donations as paid without any real payment.