CVE-2026-76063
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'wfp_featured_video_url' we wszystkich wersjach do 1.8.1 włącznie z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Endpoint REST używany do przesłania adresu URL wideo ma permission_callback ustawione na __return_true, co oznacza, że każdy uwierzytelniony użytkownik — w tym z dostępem na poziomie Subscriber — może dotrzeć do podatnej ścieżki kodu.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwych skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji i uszkodzenia reputacji witryny.
Rekomendacja
Zaleca się aktualizację wtyczki FundEngine do najnowszej wersji oraz ograniczenie dostępu do endpointu REST tylko dla uprawnionych użytkowników.
Inne podatności w FundEngine
Zobacz wszystkie- CVE-2026-59560Średnie
Wtyczka FundEngine w wersji 1.7.8 i starszych zawiera podatność na naruszenie kontroli dostępu przez użytkowników z rolą Subskrybenta. Osoba atakująca może uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2026-73993Krytyczne
Podatność umożliwiająca nieuwierzytelnioną iniekcję obiektów PHP (PHP Object Injection) w wtyczce FundEngine. Dotyczy wersji do 1.7.9 włącznie.
- CVE-2026-32470Krytyczne
Nieuwierzytelniony atakujący może wstrzyknąć obiekty PHP (PHP Object Injection) w wtyczce FundEngine w wersjach do 1.7.9.
- CVE-2026-75930Średnie
Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.8.1 włącznie. Wynika to z nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej modyfikację dowolnych wpisów i stron — nadpisywanie tytułu i treści oraz przejmowanie własności poprzez podanie kontrolowanego przez atakującego integera post_author, który omija sanityzację wp_kses_post. Nonce wp_rest wymagany przez handler jest łatwy do zdobycia przez każdego zalogowanego użytkownika przez /wp-admin/admin-ajax.php?action=rest-nonce, więc nie stanowi bariery autoryzacyjnej.
- CVE-2026-57406Średnie
Wtyczka FundEngine dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.7.6 włącznie.
Oryginalny opis (angielski, źródło NVD)
The FundEngine – Donation and Crowdfunding Platform plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'wfp_featured_video_url' parameter in all versions up to, and including, 1.8.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The REST endpoint used to submit the video URL has its permission_callback set to __return_true, meaning any authenticated user — including those with Subscriber-level access — can reach the vulnerable code path.