Celah Kritis Plugin Donasi WordPress GiveWP Memungkinkan Peretas Eksekusi Perintah Server

Kerentanan berstatus maximum-severity ditemukan pada plugin donasi populer WordPress, GiveWP. Celah keamanan ini memungkinkan penyerang tanpa hak akses awal (unauthenticated attacker) untuk mengeksekusi perintah sistem secara arbitrer (Remote Code Execution / RCE) langsung di server hosting target.

Kerentanan yang tercatat dengan kode CVE-2026-82222 ini berdampak pada GiveWP hingga versi 4.16.7.1. Temuan ini pertama kali dilaporkan oleh peneliti keamanan siber Udin Chan melalui platform intelijen kerentanan Patchstack. Plugin GiveWP sendiri tercatat aktif digunakan pada lebih dari 100.000 situs web untuk pengelolaan kampanye penggalangan dana dan transaksi donasi.

Rantai Eksploitasi dan Celah Registrasi Bypass

Peneliti Patchstack menjelaskan bahwa keberhasilan serangan ini terjadi akibat penggabungan (chaining) tiga masalah teknis mendasar:

1. Fungsi Unserialize PHP yang Tidak Aman: Adanya fungsi pembantu (helper) yang mengeksekusi deserialisasi data PHP tanpa validasi ketat.
2. Alur Pemrosesan Donasi Rentan: Sistem menyimpan objek terserialisasi yang dikendalikan oleh penyerang.
3. Pemanfaatan Gadget Chain: Keberadaan rantai pustaka (library) bawaan plugin yang dapat dipicu untuk memanggil perintah sistem operasi secara bebas.

Secara teknis, eksekusi akhir membutuhkan akun pengguna di situs target. Namun, GiveWP memiliki kelemahan di mana aksi registrasi pengguna (give_action=user_register) dapat diakses tanpa memeriksa pengaturan global WordPress users_can_register. Hal ini memungkinkan penyerang membuat akun baru dan memperoleh cookie autentikasi meskipun fitur pendaftaran situs dinonaktifkan oleh administrator.

Setelah memperoleh akses masuk, penyerang menyuntikkan muatan objek berbahaya ke dalam basis data sesi plugin (wp_give_sessions) melalui pengiriman formulir donasi khusus. Saat penyerang mengakses halaman antarmuka depan (front-end) dengan cookie miliknya, server akan mendeserialisasi gadget object tersebut dan langsung menjalankan perintah berbahaya di tingkat server.

Kondisi rentan ini umumnya ditemukan pada situs yang menggunakan formulir donasi versi lama (legacy donation forms) tanpa parameter formBuilderSettings, situs hasil pembaruan dari versi lawas, atau situs yang memulihkan data formulir lama.

Pembaruan Keamanan Versi 4.16.7.2

Pengembang GiveWP telah merilis versi perbaikan GiveWP 4.16.7.2 untuk menambal celah berbahaya ini dengan langkah mitigasi teknis:

• Memblokir seluruh data terserialisasi selama alur pemrosesan transaksi donasi.
• Membatasi pembuatan objek pada berbagai titik deserialisasi data.
• Menghapus otomatis sisa muatan objek terserialisasi yang mungkin telah tersimpan di dalam basis data situs terdampak.

Mengingat plugin GiveWP sebelumnya pernah menjadi sasaran peretas untuk membobol puluhan ribu data donatur (seperti pada insiden proyek Pi-hole), para pengelola server dan administrator situs WordPress sangat diimbau untuk segera memperbarui plugin GiveWP ke versi 4.16.7.2 guna mencegah kompromi sistem.