CVE-2026-5510
ŚrednieCVSS 6.4Streszczenie
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa jest podatna na trwały atak XSS poprzez shortcode 'give_form' we wszystkich wersjach do 4.14.4 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów continue_button_title i display_style, które są przekazywane przez sanitize_text_field(), ale nie są poprawnie escapowane przy wyjściu w atrybutach danych HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych skryptów w przeglądarkach odwiedzających, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, która zawiera poprawkę. Należy również ograniczyć uprawnienia użytkowników i regularnie przeglądać treści publikowane przez współautorów.
Inne podatności w GiveWP
Zobacz wszystkie- CVE-2026-65464Średnie
Wtyczka GiveWP w wersji 4.16.3 i starszych jest podatna na nieuwierzytelnione Cross Site Request Forgery (CSRF). Atakujący może nakłonić administratora do wykonania niechcianych działań.
- CVE-2026-82222Krytyczne
Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.
- CVE-2026-73352Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach do 4.16.5.1. Atak nie wymaga uwierzytelnienia.
- CVE-2026-73348Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach wcześniejszych niż 4.16.6. Atak nie wymaga uwierzytelnienia.
- CVE-2026-73357Średnie
Podatność typu Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach starszych niż 4.16.6, dotycząca dawców.
- CVE-2026-73349Średnie
Nieuwierzytelniona podatność Broken Access Control w wtyczce GiveWP w wersjach starszych niż 4.16.6.
- CVE-2026-66690Wysokie
Podatność Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach do 4.16.5, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
- CVE-2026-14319Wysokie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nieprawidłowo ogranicza dostęp do punktu końcowego REST API, który zwraca rekordy cyklicznych darowizn. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie informacji o anonimowych cyklicznych darczyńcach, w tym ich nazwisk i szczegółów subskrypcji.
- CVE-2026-14317Średnie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nie ogranicza zestawu dostępnych bramek płatności do tych włączonych przez administratora, czerpiąc go częściowo z danych wejściowych żądania. Umożliwia to nieuwierzytelnionym użytkownikom finalizowanie darowizn za pomocą bramki płatności, którą administrator wyłączył.
- CVE-2026-65441Wysokie
Podatność XSS (Cross Site Scripting) w wtyczce GiveWP do wersji 4.16.3. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy skrypt JavaScript.
Oryginalny opis (angielski, źródło NVD)
The GiveWP – Donation Plugin and Fundraising Platform plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'give_form' shortcode in all versions up to, and including, 4.14.4. This is due to insufficient input sanitization and output escaping on the continue_button_title and display_style shortcode attributes, which are passed through sanitize_text_field() but not properly escaped when output in HTML data attributes. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.