CVE-2026-19944 in Crowdfunding Plugin
Сводка
по VulDB • 09.09.2026
Плагин WP Crowdfunding для WordPress уязвим к generic SQL Injection через метку поста 'wpneo_reward' во всех версиях вплоть до 2.2.1 включительно из-за недостаточного экранирования параметра, предоставляемого пользователем, и отсутствия достаточной подготовки существующего SQL-запроса. Это позволяет атакующим с уровнем доступа менеджера магазина (shop manager) и выше добавлять дополнительные SQL-запросы в уже существующие запросы, которые могут быть использованы для извлечения конфиденциальной информации из базы данных. Это инъекция второго порядка: менеджер магазина один раз записывает вредоносный полезный груз через конечную точку REST продуктов WooCommerce (POST/PUT /wp-json/wc/v3/products/{id}), а внедренный запрос выполняется при каждом последующем просмотре публичной страницы, отображающей боковую панель вознаграждений кампании.
If you want to get best quality of vulnerability data, you may have to visit VulDB.