CVE-2026-111411
KrytyczneCVSS 9.3Streszczenie
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od n/a do 3.8.5.2.
Ocena ryzyka
Atakujący może wykorzystać ślepą iniekcję SQL do stopniowego wydobywania danych z bazy. Może to prowadzić do ujawnienia wrażliwych informacji, w tym danych klientów i konfiguracji.
Rekomendacja
Zaktualizuj wtyczkę FunnelKit Automations do wersji nowszej niż 3.8.5.2. Dodatkowo zaleca się wdrożenie WAF oraz monitorowanie nietypowych zapytań do bazy danych.
Inne podatności w FunnelKit Automations
Zobacz wszystkie- CVE-2026-111841Wysokie
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Cross-Site Request Forgery (CSRF). Luka dotyczy wersji od nieznanej do 3.8.5.2 włącznie.
- CVE-2026-39450Wysokie
W wersjach FunnelKit Automations do 3.7.3 występuje problem z błędną autoryzacją subskrybentów.
- CVE-2025-12469Średnie
Wtyczka FunnelKit Automations dla WordPress i WooCommerce do wersji 3.6.4.1 ma brak autoryzacji w obsłudze AJAX bwfan_test_email. Nonce jest publicznie ujawniany wszystkim odwiedzającym, a funkcja check_nonce() akceptuje użytkowników o niskich uprawnieniach. Umożliwia to uwierzytelnionym atakującym z poziomem Subscriber wysyłanie dowolnych e-maili z witryny.
- CVE-2025-12468Średnie
Wtyczka FunnelKit Automations dla WordPressa i WooCommerce w wersjach do 3.6.4.1 włącznie zawiera podatność na ujawnienie wrażliwych informacji przez endpoint REST API '/wc-coupons/'. Endpoint jest oznaczony jako publiczny (public_api = true) i zarejestrowany z permission_callback => '__return_true', co omija uwierzytelnianie i sprawdzanie uprawnień. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie kodów kuponów WooCommerce, ich identyfikatorów i statusu ważności.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Aman FunnelKit Automations wp-marketing-automations allows Blind SQL Injection.This issue affects FunnelKit Automations: from n/a through 3.8.5.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS