CVE-2026-97196

Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa jest podatna na trwały atak XSS poprzez shortcode 'give_form' we wszystkich wersjach do 4.14.4 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów continue_button_title i display_style, które są przekazywane przez sanitize_text_field(), ale nie są poprawnie escapowane przy wyjściu w atrybutach danych HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka GiveWP w wersji 4.16.3 i starszych jest podatna na nieuwierzytelnione Cross Site Request Forgery (CSRF). Atakujący może nakłonić administratora do wykonania niechcianych działań.

Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.

Wtyczka WordPress GiveWP w wersji przed 4.16.9 nie usuwa delimiterów shortcode'ów z wartości dostarczanych przez darczyńców przed wyrenderowaniem ich na publicznych stronach, a stosowane oczyszczanie shortcode'ów można obejść poprzez zagnieżdżenie. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie.

Wtyczka GiveWP dla WordPressa przed wersją 4.16.8.1 nie normalizuje w spójny sposób adresu e-mail darczyńcy między wartością przechowywaną a wartością używaną później do wyszukania darczyńcy. Umożliwia to niezalogowanym użytkownikom identyfikację jako dowolny darczyńca i ustawienie hasła WordPressa dowolnego konta użytkownika powiązanego z takim adresem, w tym administratora.

Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach do 4.16.5.1. Atak nie wymaga uwierzytelnienia.

Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach wcześniejszych niż 4.16.6. Atak nie wymaga uwierzytelnienia.

Podatność typu Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach starszych niż 4.16.6, dotycząca dawców.

Nieuwierzytelniona podatność Broken Access Control w wtyczce GiveWP w wersjach starszych niż 4.16.6.

Podatność Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach do 4.16.5, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.