Los investigadores de Patchstack explican que la explotación de la vulnerabilidad es posible encadenando tres problemas distintos:

1. Un asistente inseguro para la deserialización de datos PHP
2. Un flujo de procesamiento de donaciones que almacena objetos serializados controlados por el atacante
3. Una cadena de gadgets en las librerías incluidas en el plugin que puede invocar comandos del sistema arbitrarios

La explotación exitosa depende de que el atacante tenga una cuenta en el sitio objetivo. Sin embargo, Patchstack afirma que una acción de registro no autenticada expuesta permite crear una cuenta incluso si el registro está desactivado.

“[GiveWP] expone una acción de registro no autenticada (give_action=user_register) que nunca consulta la opción users_can_register de WordPress”, explica Patchstack [fuente].

“Incluso en un sitio que tiene el registro desactivado, el atacante puede crear una cuenta y recibir una cookie de autenticación, para luego llevar a cabo el resto del ataque en la misma secuencia”.

Después de la autenticación, los hackers pueden almacenar un objeto serializado malicioso en su perfil e inyectarlo en la base de datos de sesiones del plugin enviando una donación manipulada.

“El servidor escribe el objeto gadget en wp_give_sessions antes de devolver un HTTP 500”, afirma George Johnstone, investigador de ciberseguridad de Patchstack.

Al solicitar cualquier página del front-end con la cookie de autenticación, el servidor deserializa el gadget y ejecuta el comando del atacante.

Las versiones 4.16.6 a 4.16.7.1 siguen siendo vulnerables, aunque la explotación requiere que el sitio contenga un formulario de donación heredado sin ‘formBuilderSettings’.

Patchstack comenta que tales condiciones pueden existir en instalaciones actualizadas, sitios que utilizan el editor de formularios basado en opciones del plugin, o al importar o restaurar formularios antiguos.

GiveWP solucionó la vulnerabilidad en la versión 4.16.7.2, lanzada el 27 de agosto, bloqueando los datos serializados durante el procesamiento de donaciones y restringiendo la creación de objetos en varios puntos de deserialización.

Además, la actualización de seguridad elimina las cargas útiles de objetos serializados ya almacenadas en las bases de datos afectadas.

Sin embargo, Patchstack señala que la acción de registro de GiveWP todavía no respeta la configuración de registro de usuarios de WordPress, pero este problema ya no es explotable para la ejecución de código.

Se insta a los administradores de sitios web que utilizan GiveWP a aplicar las actualizaciones de seguridad lo antes posible para evitar la explotación maliciosa de CVE-2026-82222.

Atacaron GiveWP el año pasado para vulnerar indirectamente Pi-hole, un popular bloqueador de anuncios a nivel de red, exponiendo los nombres y direcciones de correo electrónico de 30,000 donantes.

Fuente:
BleepingComputer