CVE-2026-19658

WordPress üçün nəzərdə tutulmuş Give Tributes plagini, etibarsız girişin deserializasiyası vasitəsilə 2.3.1 versiyası daxil olmaqla bütün versiyalarda PHP Object Injection zəifliyinə malikdir. Bu, autentifikasiya olunmamış hücumçulara PHP obyektinin inyeksiya edilməsini mümkün edir. Zəiflik olan proqram təminatında məlum POP zənciri mövcud deyil, bu isə o deməkdir ki, saytda POP zənciri olan başqa bir plagin və ya mövzu quraşdırılmadıqda bu zəifliyin heç bir təsiri yoxdur. Hədəf sistemdə əlavə plagin və ya mövzu vasitəsilə POP zənciri mövcuddursa, bu, mövcud POP zəncirindən asılı olaraq hücumçuya ixtiyari faylların silinməsi, həssas məlumatların əldə edilməsi və ya kodun icrası kimi hərəkətləri yerinə yetirməyə imkan verə bilər. Bu zəifliyə yalnız ianə forması üçün "Allow Multiple Recipients" seçimi aktiv olduqda daxil olmaq mümkündür, çünki tək alıcı kod yolu sanitize_textarea_field() funksiyasını tətbiq edir və bu da payload-u neytrallaşdırır. Eksploytasiya üçün əlavə olaraq eCard "Custom Message" seçiminin deaktiv olması tələb olunur (bu, plaginin standart parametridir): bu seçim aktiv olduqda fərdiləşdirilmiş mesaj mütləq sahəyə çevrilir və GiveWP-nin give_clean() funksiyası validasiya zamanı serializasiya edilmiş girişi təmizləyir, nəticədə ianə saxlanılmazdan əvvəl rədd edilir.