CVE-2026-19944 in Crowdfunding Plugin
Sumário
de VulDB • 09/09/2026
O plugin WP Crowdfunding para WordPress é vulnerável a SQL Injection genérica através do Post Meta 'wpneo_reward' em todas as versões até, e incluindo, 2.2.1 devido à falta de escape adequado no parâmetro fornecido pelo usuário e à ausência de preparação suficiente na consulta SQL existente. Isso permite que atacantes autenticados, com acesso nível de gerente da loja ou superior, anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados. Trata-se de uma injeção de segunda ordem: um Gerente da Loja grava a carga maliciosa uma vez por meio do endpoint REST de produtos do WooCommerce (POST/PUT /wp-json/wc/v3/products/{id}), e a consulta injetada é executada em cada visualização subsequente de página pública que renderiza a barra lateral das recompensas da campanha.
If you want to get best quality of vulnerability data, you may have to visit VulDB.