¿Qué es y cómo funciona la falla?
El plugin Give - Peer-to-Peer para WordPress presenta una vulnerabilidad de bypass de autorización (CWE-863). El plugin no verifica correctamente si un usuario está autorizado para realizar una acción. Esto permite que atacantes no autenticados que conozcan o descubran el ID de una campaña y un equipo existente puedan modificar el nombre, la historia, la meta, los ajustes de acceso y notificaciones del equipo, establecer la URL de su imagen de perfil y subir archivos de medios permitidos por WordPress como adjuntos sin padre.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del plugin Give hasta la 2.9.5 inclusive.
Impacto real y explotación
El impacto principal es la modificación no autorizada de campañas de donación. Sin embargo, esta vulnerabilidad puede combinarse con CVE-2026-82568 para lograr ejecución remota de código (RCE) sin autenticación. La puntuación CVSS es 7.5 (Alta). Según el EPSS, la probabilidad de explotación en los próximos 30 días es del 0.8% (percentil 58%). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada.
¿Qué hacer?
Los administradores de sitios que utilicen el plugin Give deben actualizarlo inmediatamente a una versión posterior a la 2.9.5, en cuanto esté disponible por parte del desarrollador.
| CVE | CVE-2026-82663 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| EPSS | 0.8% en 30 días (percentil 58) |
| CWE | CWE-863 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |