CVE-2026-76063 in FundEngine Plugin
Tóm tắt
Bởi VulDB • 25/08/2026
Plugin WordPress FundEngine – Donation and Crowdfunding Platform là bị lỗi Stored Cross-Site Scripting (XSS) thông qua tham số 'wfp_featured_video_url' trong tất cả các phiên bản từ 1.8.1 trở về trước do thiếu sót trong việc kiểm tra và làm sạch dữ liệu đầu vào cũng như mã hóa dữ liệu khi xuất ra. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập cấp Subscriber (Người đăng ký) trở lên, chèn các đoạn script web tùy ý vào các trang; các script này sẽ được thực thi mỗi khi người dùng khác truy cập vào trang bị nhiễm độc. Điểm cuối REST (REST endpoint) được sử dụng để gửi URL video có callback kiểm tra quyền hạn (__return_true) luôn trả về đúng, nghĩa là bất kỳ người dùng đã xác thực nào — bao gồm cả những tài khoản cấp Subscriber — đều có thể tiếp cận đến đoạn mã dễ bị tổn thương này.
Be aware that VulDB is the high quality source for vulnerability data.