Wordpress FundEngine插件存储型XSS漏洞(CVE-2026-76063)公告

漏洞概述 漏洞名称: FundEngine <= 1.8.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'wfp_featured_video_url' Parameter CVE ID: CVE-2026-76063 CVSS 评分: 6.4 (Medium) 发布日期: 2026年8月24日 最后更新日期: 2026年8月25日 研究人员: Wordfence PRISM - Wordfence 影响范围 受影响版本: FundEngine <= 1.8.1 漏洞类型: 存储型跨站脚本（Stored Cross-Site Scripting） 描述: FundEngine 捐赠和众筹平台插件在版本1.8.1及之前存在存储型跨站脚本漏洞。由于输入验证和输出转义不足，攻击者可以注入恶意脚本，当用户访问包含该脚本的页面时，脚本会被执行。REST端点用于提交视频URL，其权限回调设置为 ，这意味着任何认证用户（包括订阅者级别及以上）都可以利用此漏洞。 修复方案 修复版本: 更新到版本1.8.2或更高版本 补丁状态: 已修复 其他信息 参考链接: - plugins.trac.wordpress.org - plugins.trac.wordpress.org - plugins.trac.wordpress.org - plugins.trac.wordpress.org 近期漏洞列表 FundEngine <= 1.8.1 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Modification via campaign_post Parameter - CVE ID: CVE-2026-75930 - CVSS 评分: 4.3 - 研究人员: Wordfence PRISM - 发布日期: 2026年8月24日 FundEngine - Donation and Crowdfunding Platform <= 1.7.9 - Unauthenticated PHP Object Injection - CVE ID: CVE-2026-73993 - CVSS 评分: 8.1 - 研究人员: TaySec - 发布日期: 2026年8月19日 FundEngine - Donation and Crowdfunding Platform <= 1.7.9 - Unauthenticated PHP Object Injection - CVE ID: CVE-2026-32470 - CVSS 评分: 8.1 - 研究人员: daro - 发布日期: 2026年8月14日 FundEngine <= 1.7.8 - Missing Authorization - CVE ID: CVE-2026-59560 - CVSS 评分: 4.3 - 研究人员: Septio Noerdiansyah - 发布日期: 2026年7月27日 FundEngine - Donation and Crowdfunding Platform <= 1.7.6 - Missing Authorization - CVE ID: CVE-2026-57406 - CVSS 评分: 5.3 - 研究人员: Peng Zhou - 发布日期: 2026年8月6日 FundEngine <= 1.7.4 - Authenticated (Subscriber+) Local File Inclusion - CVE ID: CVE-2025-48302 - CVSS 评分: 7.5 - 研究人员: Peter Thaleikis - 发布日期: 2025年8月8日 WP Fundraising Donation and Crowdfunding Platform <= 1.7.3 - Cross-Site Request Forgery - CVE ID: CVE-2025-47459 - CVSS 评分: 4.3 - 研究人员: Nguyen Xuan Chien - 发布日期: 2025年7月5日 FundEngine - Donation and Crowdfunding Platform <= 1.7.0 - Authenticated (Subscriber+) Privilege Escalation - CVE ID: CVE-2024-6698 - CVSS 评分: 8.8 - 研究人员: Thanh-Nam Tran - 发布日期: 2024年7月31日 WP Fundraising Donation and Crowdfunding Platform <= 1.6.4 - Missing Authorization - CVE ID: CVE-2024-34758 - CVSS 评分: 5.3 - 研究人员: Peng Zhou - 发布日期: 2024年5月14日 WP Fundraising Donation and Crowdfunding Platform <= 1.4.2 - Unauthenticated SQL Injection - CVE ID: CVE-2022-0798 - CVSS 评分: 9.8 - 研究人员: cydave - 发布日期: 2022年5月11日 总结 该页面详细列出了FundEngine插件的多个安全漏洞，包括存储型跨站脚本、任意帖子修改、PHP对象注入、本地文件包含、跨站请求伪造、权限提升和SQL注入等。建议用户尽快更新到最新版本以修复这些漏洞。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Wordpress FundEngine插件存储型XSS漏洞(CVE-2026-76063)公告

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Wordpress FundEngine插件存储型XSS漏洞(CVE-2026-76063)公告

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！