CVE-2026-19658

Wtyczka Give Tributes do WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach, aż do 2.3.1 włącznie, poprzez deserializację niezaufanych danych wejściowych. Dzięki temu nieuwierzytelnieni atakujący mogą wstrzyknąć obiekt PHP. W oprogramowaniu zawierającym lukę nie występuje żaden znany łańcuch POP, co oznacza, że ​​ta luka nie ma żadnego wpływu, chyba że w witrynie zostanie zainstalowana inna wtyczka lub motyw zawierający łańcuch POP. Jeśli łańcuch POP jest obecny za pośrednictwem dodatkowej wtyczki lub motywu zainstalowanego w systemie docelowym, może umożliwić osobie atakującej wykonanie takich działań, jak usunięcie dowolnych plików, pobranie poufnych danych lub wykonanie kodu w zależności od obecności łańcucha POP. Ta luka jest dostępna tylko wtedy, gdy w formularzu darowizny włączona jest opcja „Zezwalaj na wielu odbiorców”, ponieważ ścieżka kodu dla jednego odbiorcy stosuje funkcję sanitize_textarea_field(), która neutralizuje ładunek. Eksploatacja wymaga dodatkowo wyłączenia opcji „Niestandardowa wiadomość” eCard, która jest domyślną opcją wtyczki: gdy jest włączona, spersonalizowana wiadomość staje się polem wymaganym, a funkcja Give_clean() funkcji GiveWP usuwa serializowane dane wejściowe podczas sprawdzania poprawności, powodując odrzucenie darowizny przed jej zapisaniem.