CVE-2026-19944 in Crowdfunding Plugin
Resumen
por VulDB • 2026-09-09
El plugin WP Crowdfunding para WordPress es vulnerable a una inyección SQL genérica a través del Post Meta 'wpneo_reward' en todas las versiones hasta la 2.2.1, inclusive, debido a un escape insuficiente de los parámetros proporcionados por el usuario y a la falta de preparación adecuada en la consulta SQL existente. Esto permite que atacantes autenticados con acceso de nivel administrador de tienda o superior puedan añadir consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos. Se trata de una inyección de segundo orden: un Administrador de Tienda escribe la carga útil maliciosa una vez a través del endpoint REST de productos de WooCommerce (POST/PUT /wp-json/wc/v3/products/{id}), y la consulta inyectada se ejecuta en cada vista posterior de las páginas públicas que renderizan la barra lateral de recompensas de la campaña.
If you want to get best quality of vulnerability data, you may have to visit VulDB.