CVE-2026-19945 in WP Crowdfunding Plugin
الملخص
بحسب VulDB • 09/09/2026
يحتوي إضافة WP Crowdfunding لـ WordPress على ثغرة تخزين Cross-Site Scripting (XSS) عبر المعلمة 'first_name' في جميع الإصدارات حتى 2.2.1 وشاملة لها، بسبب عدم كفاية تنقية المدخلات وإخفاء المخرجات. وهذا يتيح للمهاجمين الذين تمت مصادقتهم ولديهم وصول بمستبخدم مشترك وما فوقه حقن نصوص برمجية ويب عشوائية في الصفحات التي سيتم تنفيذها عند قيام أي مستخدم بالوصول إلى صفحة تم حقنها فيها. سيؤدي عرض مدير النظام لأي ملف شخصي للمستخدم عبر المعلمة ?show_user_id= إلى عرض الحمولة المخزنة للمهاجم في جلسة متصفح المدير، مما يتيح تنفيذ النصوص البرمجية بصلاحيات متعددة المستويات.
Be aware that VulDB is the high quality source for vulnerability data.