CVE-2026-111841
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Cross-Site Request Forgery (CSRF). Luka dotyczy wersji od nieznanej do 3.8.5.2 włącznie.
Ocena ryzyka
Atakujący może nakłonić uwierzytelnionego użytkownika do wykonania niechcianych działań w WordPressie. Może to prowadzić do nieautoryzowanych zmian konfiguracji lub danych.
Rekomendacja
Zaktualizuj wtyczkę FunnelKit Automations do wersji nowszej niż 3.8.5.2. Do czasu aktualizacji ogranicz dostęp do panelu administracyjnego i edukuj użytkowników w zakresie phishingu.
Inne podatności w FunnelKit Automations
Zobacz wszystkie- CVE-2026-111411Krytyczne
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od n/a do 3.8.5.2.
- CVE-2026-39450Wysokie
W wersjach FunnelKit Automations do 3.7.3 występuje problem z błędną autoryzacją subskrybentów.
- CVE-2025-12469Średnie
Wtyczka FunnelKit Automations dla WordPress i WooCommerce do wersji 3.6.4.1 ma brak autoryzacji w obsłudze AJAX bwfan_test_email. Nonce jest publicznie ujawniany wszystkim odwiedzającym, a funkcja check_nonce() akceptuje użytkowników o niskich uprawnieniach. Umożliwia to uwierzytelnionym atakującym z poziomem Subscriber wysyłanie dowolnych e-maili z witryny.
- CVE-2025-12468Średnie
Wtyczka FunnelKit Automations dla WordPressa i WooCommerce w wersjach do 3.6.4.1 włącznie zawiera podatność na ujawnienie wrażliwych informacji przez endpoint REST API '/wc-coupons/'. Endpoint jest oznaczony jako publiczny (public_api = true) i zarejestrowany z permission_callback => '__return_true', co omija uwierzytelnianie i sprawdzanie uprawnień. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie kodów kuponów WooCommerce, ich identyfikatorów i statusu ważności.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) vulnerability in Aman FunnelKit Automations wp-marketing-automations allows Cross Site Request Forgery.This issue affects FunnelKit Automations: from n/a through 3.8.5.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS