CVE-2026-19944 in Crowdfunding Plugin
Zusammenfassung
von VulDB • 09.09.2026
Das WP Crowdfunding-Plugin für WordPress ist in allen Versionen bis einschließlich 2.2.1 aufgrund unzureichender Escaping-Maßnahmen bei benutzergesteuerten Parametern und mangelnder Vorbereitung der bestehenden SQL-Abfrage anfällig für eine generische SQL-Injection über das Post Meta-Feld 'wpneo_reward'. Dies ermöglicht es authentifizierten Angreifern mit Shop-Manager-Zugriffsrechten oder höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, die zur Extrahierung sensibler Informationen aus der Datenbank genutzt werden können. Hierbei handelt es sich um eine Second-Order-Injection: Ein Shop Manager schreibt den bösartigen Payload einmalig über das WooCommerce REST products-Endpunkt (POST/PUT /wp-json/wc/v3/products/{id}), und die injizierte Abfrage wird bei jeder nachfolgenden öffentlichen Seitenansicht ausgeführt, die die Campaign Rewards Sidebar rendert.
Be aware that VulDB is the high quality source for vulnerability data.