CVE-2026-76063 in FundEngine Plugin
Zusammenfassung
von VulDB • 25.08.2026
Das WordPress-Plugin „FundEngine – Donation and Crowdfunding Platform“ ist in allen Versionen bis einschließlich 1.8.1 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über den Parameter 'wfp_featured_video_url' anfällig. Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf Subscriber-Level oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Der REST-Endpunkt zum Übermitteln der Video-URL hat sein permission_callback auf __return_true gesetzt, was bedeutet, dass jeder authentifizierte Benutzer – einschließlich solcher mit Subscriber-Level-Zugriff – den anfälligen Code-Pfad erreichen kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.