CVE-2026-19944
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka WP Crowdfunding dla WordPressa jest podatna na wstrzykiwanie SQL przez meta pole 'wpneo_reward' we wszystkich wersjach do 2.2.1 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie menedżera sklepu mogą dodać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy. Jest to wstrzyknięcie drugiego rzędu, gdzie złośliwy ładunek jest zapisywany przez REST API, a wykonuje się przy każdym publicznym wyświetleniu strony.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży wrażliwych danych z bazy danych WordPressa, co może naruszyć poufność informacji klientów i organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz ograniczenie uprawnień dla menedżerów sklepu.
Inne podatności w WP Crowdfunding
Zobacz wszystkie- CVE-2026-19945Średnie
Wtyczka WP Crowdfunding dla WordPressa jest podatna na trwały atak XSS przez parametr 'first_name' we wszystkich wersjach do 2.2.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Administrator przeglądający profil dowolnego użytkownika przez parametr ?show_user_id= wyrenderuje zapisany payload atakującego w sesji przeglądarki administratora, umożliwiając wykonanie skryptów z podniesionymi uprawnieniami.
- CVE-2026-14859Średnie
Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie sprawdza uprawnień do tworzenia kampanii w jednej z akcji AJAX. Każdy zalogowany użytkownik, np. subskrybent, może tworzyć posty kampanii crowdfundingowych, mimo że nie ma do tego uprawnień.
- CVE-2026-14858Średnie
Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie weryfikuje własności zamówienia przed zwróceniem szczegółów zamówienia. Każdy zalogowany użytkownik, np. subskrybent, może czytać dane osobowe dowolnego zamówienia WooCommerce i wyliczyć wszystkie zamówienia w sklepie.
- CVE-2026-14857Średnie
Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie weryfikuje własności kampanii przed umożliwieniem modyfikacji jej historii aktualizacji i wysłania e-maila do wspierających. Każdy zalogowany użytkownik, np. subskrybent, może zmieniać kampanie innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The WP Crowdfunding plugin for WordPress is vulnerable to generic SQL Injection via 'wpneo_reward' Post Meta in all versions up to, and including, 2.2.1 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with shop manager-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. This is a second-order injection: a Shop Manager writes the malicious payload once via the WooCommerce REST products endpoint (POST/PUT /wp-json/wc/v3/products/{id}), and the injected query executes on every subsequent public page view that renders the campaign rewards sidebar.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS