GiveWP 4.19.1 trở xuống cho phép nhập cài đặt để đặt Administrator làm vai trò mặc định của người quyên góp (CVE-2026-118193)
Mã định danh: CVE-2026-118193
- Xuất bản
- Thay đổi nội dung gần nhất
- Xác minh gần nhất
Xác minh gần nhất: . Mục cần chú ý được xác minh lại trong vòng 72 giờ.
Tóm tắt
Ở GiveWP 4.19.1 trở xuống, màn hình cài đặt thông thường chặn Administrator làm vai trò mặc định cho người quyên góp nhưng vẫn cho phép các vai trò cao khác như Editor. Đường dẫn Tools > Import JSON bỏ qua bước kiểm tra này, nên người dùng đã đăng nhập có capability manage_give_settings có thể đặt Administrator làm vai trò mặc định cho những người quyên góp đăng ký sau đó.
Tác động
Tài khoản người quyên góp mới có thể được tạo với quyền Administrator, trao toàn quyền kiểm soát website cho bất kỳ ai đăng ký. Người quyên góp hiện có không bị nâng quyền hồi tố. Kẻ thực hiện cần có manage_give_settings, mặc định thuộc vai trò GiveWP Manager trở lên; việc gán vai trò tùy chỉnh có thể mở rộng số người nắm giữ quyền này.
Ai bị ảnh hưởng
Website WordPress dùng GiveWP 4.19.1 trở xuống. Lỗi này cần một tài khoản đã đăng nhập có capability manage_give_settings, bất kể tài khoản đó thuộc về ai.
Sản phẩm và phiên bản
| Sản phẩm và phiên bản | Bị ảnh hưởng | Đã sửa |
|---|---|---|
| GiveWP | <= 4.19.1 | 4.19.1.1 |
Bằng chứng khai thác
Chưa xác lập việc khai thác. Các hồ sơ đã xem xét chưa xác nhận có khai thác trong thực tế.
Việc cần làm
- Sau khi sao lưu và kiểm tra tương thích, cập nhật lên 4.19.1.1 hoặc bản vá mới hơn.
- Rà soát những tài khoản có manage_give_settings và gỡ bỏ khi không cần thiết.
- Kiểm tra cài đặt vai trò mặc định của người quyên góp và các lần nhập cài đặt gần đây.
- Xem xét các tài khoản đặc quyền được tạo gần đây, vì bản vá không rà soát các tài khoản đã tạo trước đó.
- Xác nhận một đăng ký thử nghiệm do bạn kiểm soát nhận được vai trò quyền thấp như dự kiến.
Điều chưa rõ
- Các hồ sơ đã xem xét chưa xác nhận có khai thác trong thực tế.
- Không thể xác định từ bản khuyến cáo liệu cài đặt của một website cụ thể đã bị thay đổi hay chưa.
Nguồn
- Wordfence CNA / CVE Program https://cveawg.mitre.org/api/cve/CVE-2026-118193
- GiveWP / WordPress.org https://plugins.svn.wordpress.org/give/trunk/readme.txt
Lịch sử thay đổi
- — Xuất bản: GiveWP 4.19.1 trở xuống cho phép người dùng có manage_give_settings nhập cài đặt khiến người quyên góp mới thành Administrator; cập nhật lên 4.19.1.1 trở lên và rà soát vai trò.