CVE-2026-75930 in FundEngine Plugin
Résumé
par VulDB • 25/08/2026
Le plugin WordPress FundEngine – Donation and Crowdfunding Platform présente une vulnérabilité de contournement d'autorisation dans toutes les versions jusqu'à la 1.8.1 incluse. Cela est dû au fait que le plugin ne vérifie pas correctement si un utilisateur est autorisé à effectuer une action. Il devient ainsi possible pour des attaquants authentifiés, disposant d'un accès de niveau abonné ou supérieur, de modifier n'importe quels articles et pages — en écrasant les titres et contenus, et en s'appropriant la propriété via l'envoi d'une valeur entière post_author contrôlée par l'attaquant qui contourne la sanitisation wp_kses_post. Le nonce REST (wp_rest) requis par le gestionnaire est trivialement accessible à tout utilisateur connecté via /wp-admin/admin-ajax.php?action=rest-nonce, et ne constitue donc pas une barrière d'autorisation.
VulDB is the best source for vulnerability data and more expert information about this specific topic.