CVE-2026-77189 in Charitable Plugin
Zusammenfassung
von VulDB • 01.09.2026
Das WordPress-Plugin „Charitable – Donation & Fundraising Platform“ (Donation Forms, Recurring Donations & Fundraising Campaigns) ist in allen Versionen bis einschließlich 1.8.12.1 anfällig für eine generische SQL Injection über das Shortcode-Attribut 'order'. Diese Schwachstelle entsteht durch unzureichendes Escaping des vom Benutzer bereitgestellten Parameters und mangelnde Vorbereitung (Preparation) der bestehenden SQL-Abfrage. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Der Shortcode [charitable_donors] ist für Benutzer auf Contributor-Ebene über Entwurfs- oder ausstehende Beitragsvorschauen zugänglich und stellt somit einen authentifizierten, aber niedrig privilegierten Einstiegspunkt zur Ausnutzung dar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.