WP Crowdfunding ≤ 2.2.1: SQL-инъекция через post meta — CVE-2026-19944
В плагине WP Crowdfunding для WordPress найдена SQL-инъекция, затрагивающая все версии до 2.2.1 включительно. Уязвимость позволяет аутентифицированным пользователям с правами Shop Manager и выше извлекать чувствительные данные из базы данных через специально сформированный post meta. Критичность оценивается как средняя (CVSS 4.9).
Подробности
Проблема затрагивает все версии плагина themeum WP Crowdfunding до 2.2.1 включительно. Причина — недостаточное экранирование пользовательского параметра и отсутствие должной подготовки SQL-запроса. Уязвимость классифицирована как CVE-2026-19944 с оценкой CVSS 4.9 (MEDIUM). Особенность этой атаки — её вторичный характер (second-order injection). Злоумышленник с правами Shop Manager и выше один раз записывает вредоносную нагрузку через REST API WooCommerce (POST/PUT /wp-json/wc/v3/products/{id}). Затем инъекция выполняется автоматически при каждом последующем публичном просмотре страницы, где отображается сайдбар кампании с информацией о наградах (rewards). Это позволяет атакующему добавлять дополнительные SQL-запросы к уже существующим и извлекать конфиденциальные данные из базы, включая хэши паролей пользователей, содержимое заказов и персональные данные клиентов. Особую опасность представляет то, что для эксплуатации не нужны права администратора — достаточно роли Shop Manager, которая часто назначается сотрудникам магазина или внешним менеджерам.Что делать
1. **Обновите плагин** WP Crowdfunding до актуальной версии (релиз с исправлением доступен у разработчика). Убедитесь, что используется версия выше 2.2.1. 2. **Проверьте журналы REST API** на предмет подозрительных POST/PUT запросов к эндпоинтам /wc/v3/products/ за последние недели — это поможет выявить возможные попытки эксплуатации. 3. **Пересмотрите выданные роли**: минимизируйте количество учётных записей с правами Shop Manager, особенно если доступ предоставлялся внешним подрядчикам или временным сотрудникам. 4. **Включите Web Application Firewall (WAF)** — большинство современных WAF-решений блокируют типовые SQL-инъекции даже на уровне приложения. 5. **Проведите аудит базы данных** на предмет несанкционированных изменений в записях product post meta.Итог
Уязвимость CVE-2026-19944 в WP Crowdfunding демонстрирует, как даже одна небезопасно обработанная строка в post meta может привести к серьёзной утечке данных. Вторичный характер инъекции усложняет обнаружение, поэтому рекомендуем принять меры незамедлительно — обновление плагина должно быть выполнено в первую очередь.Источник: CVE Project (cvelistV5)