CVE-2026-76063 in FundEngine Plugin
Resumen
por VulDB • 2026-08-25
El plugin FundEngine – Donation and Crowdfunding Platform para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través del parámetro 'wfp_featured_video_url' en todas las versiones hasta la 1.8.1, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado al generar la salida. Esto permite que atacantes autenticados con acceso de nivel suscriptor (Subscriber) o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El endpoint REST utilizado para enviar la URL del video tiene su callback de permisos configurado como __return_true, lo que significa que cualquier usuario autenticado —incluidos aquellos con acceso de nivel suscriptor— puede acceder al código vulnerable.
If you want to get best quality of vulnerability data, you may have to visit VulDB.