CVE-2026-59560

Podatność umożliwiająca nieuwierzytelnioną iniekcję obiektów PHP (PHP Object Injection) w wtyczce FundEngine. Dotyczy wersji do 1.7.9 włącznie.

Nieuwierzytelniony atakujący może wstrzyknąć obiekty PHP (PHP Object Injection) w wtyczce FundEngine w wersjach do 1.7.9.

Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'wfp_featured_video_url' we wszystkich wersjach do 1.8.1 włącznie z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Endpoint REST używany do przesłania adresu URL wideo ma permission_callback ustawione na __return_true, co oznacza, że każdy uwierzytelniony użytkownik — w tym z dostępem na poziomie Subscriber — może dotrzeć do podatnej ścieżki kodu.

Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.8.1 włącznie. Wynika to z nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej modyfikację dowolnych wpisów i stron — nadpisywanie tytułu i treści oraz przejmowanie własności poprzez podanie kontrolowanego przez atakującego integera post_author, który omija sanityzację wp_kses_post. Nonce wp_rest wymagany przez handler jest łatwy do zdobycia przez każdego zalogowanego użytkownika przez /wp-admin/admin-ajax.php?action=rest-nonce, więc nie stanowi bariery autoryzacyjnej.

Wtyczka FundEngine dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.7.6 włącznie.