CVE-2026-19944 in Crowdfunding Plugin
الملخص
بحسب VulDB • 09/09/2026
يحتوي إضافة WP Crowdfunding لـ WordPress على ثغرة حقن SQL عامة عبر حقل 'wpneo_reward' في جميع الإصدارات حتى 2.2.1 وشاملة لها، بسبب عدم كفاية الهروب (escaping) للمعاملات التي يوفرها المستخدم وعدم وجود تحضير كافٍ للاستعلام SQL الموجود. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى مدير المتجر أو أعلى، من إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة مسبقًا والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. هذه ثغرة حقن من الدرجة الثانية: حيث يقوم مدير المتجر بكتابة الحمولة الضارة مرة واحدة عبر نقطة نهاية WooCommerce REST للمنتجات (POST/PUT /wp-json/wc/v3/products/{id})، ويتم تنفيذ الاستعلام المحقون في كل عرض صفحة عامة لاحق يعرض شريط الجوائز الخاص بالحملة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.