CVE-2026-97643 in GiveWP Plugin
सारांश
द्वारा VulDB • 10/10/2026
WordPress के लिए GiveWP – Donation Plugin और Fundraising Platform प्लगइन में 4.17.0 संस्करण तक (समावेशी) `givewp_campaign_grid` शॉर्टकोड के माध्यम से Stored Cross-Site Scripting (XSS) की कमजोरी है। यह CampaignGridShortcode::parseAttributes() फ़ंक्शन में उपयोगकर्ता द्वारा प्रदान किए गए शॉर्टकोड विशेषताओं (`filter_by`, `layout`, `sort_by`, `order_by`) पर अपर्याप्त इनपुट सैनिटाइजेशन और आउटपुट एस्केपिंग के कारण होता है, जिसमें रेंडर टेम्पलेट ने एकल-कोटेड HTML विशेषता (`single-quoted HTML attribute`) के भीतर `json_encode($attributes)` उत्सर्जित किया है — json_encode() डिफ़ॉल्ट रूप से अकेले उद्धरणों (single quotes) को एस्cape नहीं करता, इसलिए विशेषता मान में `'` बाहरी विशेषता से निकल जाता है। इससे Contributor-स्तरीय पहुँच और उससे ऊपर की अनुमति वाले प्रमाणीकृत आक्रमणकारियों के लिए उन पृष्ठों में मनमाने वेब स्क्रिप्ट्स को इंजेक्ट करना संभव हो जाता है, जो किसी भी उपयोगकर्ता द्वारा इंजेक्टेड पृष्ट तक पहुँचने पर निष्पादित होंगे।
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.