CVE-2025-66533

Podatność umożliwiająca obejście uwierzytelniania przez spoofing tożsamości w wtyczce GiveWP. Dotyczy wersji od n/a do 4.16.8.1.

Wtyczka GiveWP w wersjach do 4.18.0 zawiera podatność braku autoryzacji. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Podatność Insecure Direct Object References (IDOR) w wtyczce GiveWP do wersji 4.16.9 włącznie. Niezautoryzowany użytkownik może uzyskać dostęp do obiektów bez logowania.

Podatność Sensitive Data Exposure w wtyczce GiveWP do wersji 4.16.9 włącznie. Użytkownik z rolą subskrybenta może uzyskać dostęp do poufnych danych.

Wtyczka GiveWP w wersjach do 4.16.9 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Brak wymaganego logowania znacząco zwiększa ryzyko eksploatacji.

Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa jest podatna na trwały atak XSS poprzez shortcode 'give_form' we wszystkich wersjach do 4.14.4 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów continue_button_title i display_style, które są przekazywane przez sanitize_text_field(), ale nie są poprawnie escapowane przy wyjściu w atrybutach danych HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Podatność nieprawidłowej walidacji niebezpiecznej równoważności w wejściu w wtyczce GiveWP firmy Liquid Web / StellarWP umożliwia ominięcie uwierzytelniania. Problem dotyczy wersji od n/a do 4.16.9.

Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.

W wtyczce GiveWP w wersjach do 4.19.0.1 występuje nieuwierzytelnione naruszenie kontroli dostępu (Broken Access Control).

Podatność Unauthenticated Cross Site Scripting (XSS) w GiveWP do wersji 4.17.0 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwego skryptu do stron wyświetlanych innym użytkownikom.