CVE-2026-19945
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka WP Crowdfunding dla WordPressa jest podatna na trwały atak XSS przez parametr 'first_name' we wszystkich wersjach do 2.2.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Administrator przeglądający profil dowolnego użytkownika przez parametr ?show_user_id= wyrenderuje zapisany payload atakującego w sesji przeglądarki administratora, umożliwiając wykonanie skryptów z podniesionymi uprawnieniami.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może przejąć sesję administratora lub wykonać nieautoryzowane działania w kontekście administratora, co może prowadzić do pełnej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę WP Crowdfunding do najnowszej wersji, która zawiera poprawki bezpieczeństwa, oraz ogranicz dostęp do profili użytkowników.
Inne podatności w WP Crowdfunding
Zobacz wszystkie- CVE-2026-19944Średnie
Wtyczka WP Crowdfunding dla WordPressa jest podatna na wstrzykiwanie SQL przez meta pole 'wpneo_reward' we wszystkich wersjach do 2.2.1 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie menedżera sklepu mogą dodać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy. Jest to wstrzyknięcie drugiego rzędu, gdzie złośliwy ładunek jest zapisywany przez REST API, a wykonuje się przy każdym publicznym wyświetleniu strony.
- CVE-2026-14859Średnie
Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie sprawdza uprawnień do tworzenia kampanii w jednej z akcji AJAX. Każdy zalogowany użytkownik, np. subskrybent, może tworzyć posty kampanii crowdfundingowych, mimo że nie ma do tego uprawnień.
- CVE-2026-14858Średnie
Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie weryfikuje własności zamówienia przed zwróceniem szczegółów zamówienia. Każdy zalogowany użytkownik, np. subskrybent, może czytać dane osobowe dowolnego zamówienia WooCommerce i wyliczyć wszystkie zamówienia w sklepie.
- CVE-2026-14857Średnie
Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie weryfikuje własności kampanii przed umożliwieniem modyfikacji jej historii aktualizacji i wysłania e-maila do wspierających. Każdy zalogowany użytkownik, np. subskrybent, może zmieniać kampanie innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The WP Crowdfunding plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'first_name' parameter in all versions up to, and including, 2.2.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. An administrator viewing any user's profile via the ?show_user_id= parameter will render the attacker's stored payload in the admin's browser session, enabling cross-privilege script execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS