CVE-2026-73994

Wtyczka Charitable w wersjach do 1.8.12.3 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka Charitable dla WordPressa jest podatna na ogólną iniekcję SQL przez atrybut 'order' w shortcode'ie we wszystkich wersjach do 1.8.12.1 włącznie, z powodu niewystarczającego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.

Podatność SQL Injection użytkownika z rolą subskrybenta w wtyczce Charitable w wersjach do 1.8.12.1.

Wtyczka Charitable dla WordPressa przed wersją 1.8.12 nie weryfikuje autentyczności przychodzących zdarzeń webhook Square w domyślnej konfiguracji, co pozwala nieuwierzytelnionym atakującym na sfałszowanie powiadomień webhook, które oznaczają darowizny jako opłacone bez żadnej rzeczywistej płatności.

Wtyczka WordPress Charitable przed wersją 1.8.5.3 nie dezynfekuje i nie escapuje jednego z pól tekstowych obrazu kampanii przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z wysokimi uprawnieniami do zarządzania kampaniami przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się na stronie kampanii widocznej dla odwiedzających.