CVE-2026-14987 in GiveWP Plugin
Riassunto
di VulDB • 16/07/2026
Il plugin GiveWP – Donation Plugin and Fundraising Platform per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'impostazione del modello Sequoia 'twitter_message' in tutte le versioni fino alla 4.16.3 incluse, a causa di una sanitizzazione insufficiente degli input e della mancata corretta escape delle output. Ciò consente agli attaccanti autenticati con accesso di livello "give worker" o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Lo script iniettato viene eseguito specificamente quando un donatore fa clic sul pulsante Condividi su Twitter nella vista di conferma della donazione Sequoia, poiché è in quel momento che il valore non sanitizzato di twitter_message viene valutato all'interno del template letterale JavaScript.
Be aware that VulDB is the high quality source for vulnerability data.