CVE-2026-19658

概要

WordPress用のGive Tributesプラグインは、バージョン2.3.1以下（2.3.1を含む）のすべてのバージョンにおいて、信頼できない入力のデシリアライズを介したPHPオブジェクトインジェクションに対して脆弱です。これにより、認証されていない攻撃者がPHPオブジェクトを注入することが可能になります。脆弱なソフトウェアには既知のPOPチェーンが存在しないため、この脆弱性は、サイトにPOPチェーンを含む別のプラグインまたはテーマがインストールされていない限り、影響を及ぼしません。ターゲットシステムにインストールされた追加のプラグインまたはテーマを介してPOPチェーンが存在する場合、存在するPOPチェーンに応じて、攻撃者が任意のファイルの削除、機密データの取得、コードの実行などのアクションを実行できる可能性があります。この脆弱性は、寄付フォームで「Allow Multiple Recipients」オプションが有効になっている場合にのみ到達可能です。単一受信者のコードパスではsanitize_textarea_field()が適用され、ペイロードが無効化されるためです。さらに悪用には、eCardの「Custom Message」オプションが無効になっている必要があり、これがプラグインのデフォルトです。これが有効になっている場合、パーソナライズされたメッセージが必須フィールドとなり、GiveWPのgive_clean()が検証中にシリアライズされた入力を空白にするため、寄付は保存される前に拒否されます。

• CVE-2026-19658PoC

  CVE-2026-19658（WordPress Give TributesのPHPオブジェクトインジェクション脆弱性）に対応するPython 3のチェッカー兼エクスプロイトヘルパー。FOFAによるターゲット探索とレガシー寄付フォームのエクスプロイト機能を備える。