CVE-2026-13080
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Wtyczka WPFunnels dla WordPressa jest podatna na lokalne dołączanie plików (LFI) we wszystkich wersjach do 3.12.7 włącznie. Podatność występuje przez parametr 'logKey', umożliwiając uwierzytelnionym atakującym z dostępem administratora dołączanie i wykonywanie dowolnych plików .php na serwerze.
Ocena ryzyka
Atakujący z uprawnieniami administratora może ominąć kontrolę dostępu, uzyskać wrażliwe dane lub wykonać dowolny kod PHP, jeśli możliwe jest przesłanie plików .php. Może to prowadzić do pełnego przejęcia serwera WordPress.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę WPFunnels do najnowszej dostępnej wersji. Ogranicz dostęp administracyjny tylko do zaufanych użytkowników i rozważ wdrożenie zapory aplikacyjnej (WAF) blokującej parametry typu 'logKey'.
Inne podatności w WPFunnels
Zobacz wszystkie- CVE-2026-14345Krytyczne
Wtyczka WPFunnels dla WordPressa w wersjach do 3.12.7 zawiera podatność na zdalne wykonanie kodu (RCE) przez parametr 'postData'. Atakujący bez uwierzytelnienia może zapisać złośliwe dane do pliku .log, który następnie jest dołączany przez funkcję include_once, co umożliwia wykonanie kodu na serwerze. Warunkiem jest włączenie logowania w ustawieniach wtyczki oraz otwarcie skażonego pliku przez administratora w interfejsie logów.
- CVE-2026-15103Wysokie
Wtyczka WPFunnels dla WordPressa do wersji 3.12.8 zawiera podatność na eskalację uprawnień poprzez dowolną aktualizację opcji. Brak walidacji parametru `group_id` w REST API pozwala atakującym z uprawnieniami `wpf_manage_funnels` na modyfikację opcji `wp_user_roles`, co umożliwia nadanie sobie roli administratora.
- CVE-2026-0626Średnie
Podatność Stored Cross-Site Scripting (XSS) w WordPress WPFunnels plugin do wersji 3.7.9. Poprzez shortcode 'wpf_optin_form' i parametr 'button_icon' atakujący z dostępem na poziomie contributor lub wyższym mogą wstrzyknąć dowolny skrypt, który wykona się przy odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 3.12.7 via the 'logKey' parameter parameter. This makes it possible for authenticated attackers, with administrator-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.