CVE-2026-100147

WysokieCVSS 7.2

Opublikowano: 10/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 10/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka FunnelKit – Funnel Builder for WooCommerce Checkout do WordPressa jest podatna na przechowywane ataki XSS poprzez parametr 'shipping_first_name'. Podatność dotyczy wszystkich wersji do 3.16.0.5 włącznie.

Ocena ryzyka

Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaleca się aktualizację wtyczki FunnelKit do najnowszej wersji, która zawiera poprawkę bezpieczeństwa.

Inne podatności w FunnelKit – Funnel Builder for WooCommerce Checkout

CVE-2025-12878Średnie
Wtyczka FunnelKit – Funnel Builder for WooCommerce Checkout dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) poprzez shortcode `wfop_phone` we wszystkich wersjach do 3.13.1.2 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w atrybucie `default` dostarczanym przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributora i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Oryginalny opis (angielski, źródło NVD)

The FunnelKit – Funnel Builder for WooCommerce Checkout plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'shipping_first_name' parameter in all versions up to, and including, 3.16.0.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS