漏洞速览
- 漏洞编号：
CVE-2026-118193 - 风险评分：
8.8（高危） - 首次披露：2026-11-04
- 最近更新：2026-11-04
- 软件类型：插件
- 软件标识：
give - 受影响版本：<= 4.19.1
- 修复版本：4.19.1.1
- 是否已修复：是
漏洞详情
GiveWP – Donation Plugin and Fundraising Platform（WordPress 捐赠插件与筹款平台）的所有版本（直至并包括 4.19.1）存在权限提升漏洞，漏洞源于 donor_default_user_role 参数。其一，sanitize_option_donor_default_user_role() 函数在保存时仅对字符串 'administrator' 做了狭窄的字面量检查，而未强制执行插件自身的 give_get_donor_safe_user_roles() 白名单；其二，give_core_settings_import_callback() 这一 AJAX 处理器通过 update_option() 将导入的 JSON 直接写入 give_settings 选项，完全未调用清洗过滤器。因此，拥有 GiveWP Manager 角色（具备 manage_give_settings 权限）或更高权限的已认证攻击者，可以将捐赠者注册配置为分配特权 WordPress 角色——通过导入路径最高可包括 Administrator——从而使平台上每一个新建的捐赠者账户都获得该角色。在设置保存路径下，Administrator 角色会被拦截，但其他任何高权限角色（Editor、Author 等）均被接受；而在 Tools › Import JSON 路径下，清洗过滤器被完全绕过，Administrator 角色本身也可被写入存储，并随后应用到所有新注册的捐赠者账户。
影响与风险
- 漏洞类型：Authenticated (Custom+) Privilege Escalation to 'donor_default_user_role' Parameter
- 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
- 研究人员：Wordfence PRISM – Wordfence
修复建议
- 按官方建议执行修复：更新至 4.19.1.1 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
