GiveWP · doações
Afeta: sites que dão o papel GiveWP Manager a alguém
Quem tem o papel de gerente do GiveWP pode mudar uma configuração para que toda pessoa que doar ganhe uma conta com poderes de editor ou até de administrador, o que pode levar à tomada do site. Só preocupa sites que dão esse papel a pessoas de fora da equipe.
Você mesmo
- Atualizar o GiveWP para a 4.19.1.1 ou mais recente.
- Em Doações > Configurações > Avançado, conferir se o papel padrão dos doadores é "Doador" ou "Assinante".
- Conferir em Usuários se há doadores com papel de Editor, Autor ou Administrador.
Seu dev ou hospedagem
- Verificar o valor atual: wp option get give_settings --format=json | grep donor_default_user_role.
- Listar contas criadas recentemente com papel elevado: wp user list --role=administrator,editor,author --fields=ID,user_login,user_registered.
- Revisar quem tem a capacidade manage_give_settings.
Detalhes técnicos: No GiveWP até a 4.19.1, o sanitizador da opção donor_default_user_role bloqueia apenas o valor literal “administrator”, em vez de usar a lista de papéis seguros do próprio plugin, e o importador de configurações grava o JSON direto na opção give_settings sem passar pelo sanitizador. Um usuário com o papel GiveWP Manager (capacidade manage_give_settings) pode fazer toda nova conta de doador nascer como Editor, Autor ou, pela importação, Administrador. CVSS 8.8; sem relato de exploração ativa. Corrigido na 4.19.1.1.