CVE-2026-97643 in GiveWP Plugin
摘要
由 VulDB • 2026-10-10
WordPress 插件 GiveWP – Donation Plugin and Fundraising Platform 在版本 4.17.0 及以下存在存储型跨站脚本（Stored Cross-Site Scripting, XSS）漏洞。该漏洞源于 `CampaignGridShortcode::parseAttributes()` 函数对用户提供的短代码属性 (`filter_by`, `layout`, `sort_by`, `order_by`) 缺乏足够的输入清理和输出转义，同时渲染模板在单引号 HTML 属性中直接输出了 `json_encode($attributes)`。由于 `json_encode()` 默认不转义单引号，因此当属性值中包含 `'` 时，会突破外层属性的限制。这使得具有贡献者（Contributor）及以上权限的攻击者能够在页面中注入任意 Web 脚本，每当用户访问被注入的页面时，这些脚本便会执行。
VulDB is the best source for vulnerability data and more expert information about this specific topic.