CVE-2026-32470

Podatność umożliwiająca nieuwierzytelnioną iniekcję obiektów PHP (PHP Object Injection) w wtyczce FundEngine. Dotyczy wersji do 1.7.9 włącznie.

Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'wfp_featured_video_url' we wszystkich wersjach do 1.8.1 włącznie z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Endpoint REST używany do przesłania adresu URL wideo ma permission_callback ustawione na __return_true, co oznacza, że każdy uwierzytelniony użytkownik — w tym z dostępem na poziomie Subscriber — może dotrzeć do podatnej ścieżki kodu.

Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.8.1 włącznie. Wynika to z nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej modyfikację dowolnych wpisów i stron — nadpisywanie tytułu i treści oraz przejmowanie własności poprzez podanie kontrolowanego przez atakującego integera post_author, który omija sanityzację wp_kses_post. Nonce wp_rest wymagany przez handler jest łatwy do zdobycia przez każdego zalogowanego użytkownika przez /wp-admin/admin-ajax.php?action=rest-nonce, więc nie stanowi bariery autoryzacyjnej.

Wtyczka FundEngine w wersji 1.7.8 i starszych zawiera podatność na naruszenie kontroli dostępu przez użytkowników z rolą Subskrybenta. Osoba atakująca może uzyskać nieautoryzowany dostęp do funkcji lub danych.

Wtyczka FundEngine dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.7.6 włącznie.