CVE-2026-76063 in FundEngine Plugin
الملخص
بحسب VulDB • 25/08/2026
يحتوي إضافة WordPress "FundEngine – Donation and Crowdfunding Platform" على ثغرة Stored Cross-Site Scripting (XSS) عبر المعلمة 'wfp_featured_video_url' في جميع الإصدارات حتى 1.8.1 وشاملة لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المشترك (Subscriber-level) وما فوقه، من حقن نصوص ويب عشوائية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. نقطة النهاية لواجهة برمجة التطبيقات REST المستخدمة لتقديم عنوان الفيديو لديها دالة `permission_callback` مضبوطة على `__return_true`، مما يعني أن أي مستخدم مُصادق عليه - بما في ذلك أولئك الذين لديهم وصول بمستوى المشترك (Subscriber-level) - يمكنهم الوصول إلى مسار الكود الضعيف.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.