CVE-2026-85530
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.8.1 nie normalizuje w spójny sposób adresu e-mail darczyńcy między wartością przechowywaną a wartością używaną później do wyszukania darczyńcy. Umożliwia to niezalogowanym użytkownikom identyfikację jako dowolny darczyńca i ustawienie hasła WordPressa dowolnego konta użytkownika powiązanego z takim adresem, w tym administratora.
Ocena ryzyka
Organizacja narażona jest na przejęcie kont administratora poprzez manipulację adresami e-mail, co może prowadzić do pełnej kompromitacji systemu WordPress i danych darczyńców.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki GiveWP do wersji 4.16.8.1 lub nowszej, która wprowadza spójną normalizację adresów e-mail.
Inne podatności w GiveWP
Zobacz wszystkie- CVE-2026-5510Średnie
Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa jest podatna na trwały atak XSS poprzez shortcode 'give_form' we wszystkich wersjach do 4.14.4 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów continue_button_title i display_style, które są przekazywane przez sanitize_text_field(), ale nie są poprawnie escapowane przy wyjściu w atrybutach danych HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-65464Średnie
Wtyczka GiveWP w wersji 4.16.3 i starszych jest podatna na nieuwierzytelnione Cross Site Request Forgery (CSRF). Atakujący może nakłonić administratora do wykonania niechcianych działań.
- CVE-2026-82222Krytyczne
Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.
- CVE-2026-85113Średnie
Wtyczka WordPress GiveWP w wersji przed 4.16.9 nie usuwa delimiterów shortcode'ów z wartości dostarczanych przez darczyńców przed wyrenderowaniem ich na publicznych stronach, a stosowane oczyszczanie shortcode'ów można obejść poprzez zagnieżdżenie. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie.
- CVE-2026-73352Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach do 4.16.5.1. Atak nie wymaga uwierzytelnienia.
- CVE-2026-73348Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach wcześniejszych niż 4.16.6. Atak nie wymaga uwierzytelnienia.
- CVE-2026-73357Średnie
Podatność typu Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach starszych niż 4.16.6, dotycząca dawców.
- CVE-2026-73349Średnie
Nieuwierzytelniona podatność Broken Access Control w wtyczce GiveWP w wersjach starszych niż 4.16.6.
- CVE-2026-66690Wysokie
Podatność Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach do 4.16.5, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
- CVE-2026-14319Wysokie
Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nieprawidłowo ogranicza dostęp do punktu końcowego REST API, który zwraca rekordy cyklicznych darowizn. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie informacji o anonimowych cyklicznych darczyńcach, w tym ich nazwisk i szczegółów subskrypcji.
Oryginalny opis (angielski, źródło NVD)
The GiveWP WordPress plugin before 4.16.8.1 does not consistently normalise a donor's e-mail address between the value it stores and the value it later uses to look that donor up, allowing unauthenticated users to be resolved as an arbitrary donor and to set the WordPress password of any user account linked to one, including an administrator's.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS