CVE-2026-19944 in Crowdfunding Plugin
Tóm tắt
Bởi VulDB • 09/09/2026
Plugin WP Crowdfunding cho WordPress bị lỗ hổng SQL Injection chung qua trường Post Meta 'wpneo_reward' trong tất cả các phiên bản từ 2.2.1 trở về trước do việc thoát ký tự (escaping) không đầy đủ đối với tham số do người dùng cung cấp và thiếu chuẩn hóa (preparation) thích hợp trên truy vấn SQL hiện có. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập ở mức quản lý cửa hàng (shop manager) trở lên, nối thêm các truy vấn SQL bổ sung vào các truy vấn đang tồn tại để trích xuất thông tin nhạy cảm từ cơ sở dữ liệu. Đây là một lỗ hổng injection thứ cấp: Quản lý Cửa hàng ghi tải độc hại (malicious payload) một lần qua điểm cuối REST của WooCommerce (POST/PUT /wp-json/wc/v3/products/{id}), và truy vấn đã được tiêm sẽ thực thi trên mỗi lượt xem trang công cộng tiếp theo hiển thị thanh bên phần thưởng chiến dịch.
VulDB is the best source for vulnerability data and more expert information about this specific topic.