CVE-2026-32470

Wtyczka FundEngine w wersji 1.7.8 i starszych zawiera podatność na naruszenie kontroli dostępu przez użytkowników z rolą Subskrybenta. Osoba atakująca może uzyskać nieautoryzowany dostęp do funkcji lub danych.

Podatność umożliwiająca nieuwierzytelnioną iniekcję obiektów PHP (PHP Object Injection) w wtyczce FundEngine. Dotyczy wersji do 1.7.9 włącznie.

Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'wfp_featured_video_url' we wszystkich wersjach do 1.8.1 włącznie z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Endpoint REST używany do przesłania adresu URL wideo ma permission_callback ustawione na __return_true, co oznacza, że każdy uwierzytelniony użytkownik — w tym z dostępem na poziomie Subscriber — może dotrzeć do podatnej ścieżki kodu.

Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.8.1 włącznie. Wynika to z nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej modyfikację dowolnych wpisów i stron — nadpisywanie tytułu i treści oraz przejmowanie własności poprzez podanie kontrolowanego przez atakującego integera post_author, który omija sanityzację wp_kses_post. Nonce wp_rest wymagany przez handler jest łatwy do zdobycia przez każdego zalogowanego użytkownika przez /wp-admin/admin-ajax.php?action=rest-nonce, więc nie stanowi bariery autoryzacyjnej.

Wtyczka FundEngine dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.7.6 włącznie.