漏洞速览
- 漏洞编号：
CVE-2026-82222 - 风险评分：
9.8（严重） - 首次披露：2026-08-28
- 最近更新：2026-08-28
- 软件类型：插件
- 软件标识：
give - 受影响版本：<= 4.16.7.1
- 修复版本：4.16.7.2
- 是否已修复：是
漏洞详情
GiveWP – Donation Plugin and Fundraising Platform 插件在 4.16.7.1 及以下所有版本中存在 PHP 对象注入漏洞，源于遗留捐赠流程中对序列化捐赠者账户数据的不安全处理。 未持有预建账户的攻击者可利用 GiveWP 的注册处理器创建捐赠者账户，将序列化对象存入账户的 last_name 个人资料字段，并使捐赠流程将该对象保留在 GiveWP 会话中；后续请求在不限制允许类的情况下对会话进行反序列化。
此外，该插件还包含一条可用的 POP 链，涉及 TCPDF 和 GiveWP 的 ProviderForwarder trait，可实现任意操作系统命令执行。 在 4.16.6 至 4.16.7.1 版本中，漏洞利用还需一个公开可获取的注册 nonce 以及一个遗留或基于选项的捐赠表单；而更早的受影响版本则可通过已发布的捐赠表单和活跃支付网关直接触发。
影响与风险
- 漏洞类型：Unauthenticated PHP Object Injection to Remote Code Execution
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Udin Chan
修复建议
- 按官方建议执行修复：更新至 4.16.7.2 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
