CVE-2026-14345
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Wtyczka WPFunnels dla WordPressa w wersjach do 3.12.7 zawiera podatność na zdalne wykonanie kodu (RCE) przez parametr 'postData'. Atakujący bez uwierzytelnienia może zapisać złośliwe dane do pliku .log, który następnie jest dołączany przez funkcję include_once, co umożliwia wykonanie kodu na serwerze. Warunkiem jest włączenie logowania w ustawieniach wtyczki oraz otwarcie skażonego pliku przez administratora w interfejsie logów.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne – nieuwierzytelniony atakujący może przejąć kontrolę nad serwerem WordPress, co prowadzi do kradzieży danych, modyfikacji treści lub dalszego rozprzestrzeniania ataku. Wymagana jest interakcja administratora, ale sama iniekcja jest w pełni nieuwierzytelniona.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę WPFunnels do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest możliwa, wyłącz opcję 'Enable Logs' w ustawieniach logowania wtyczki i ogranicz dostęp do panelu administracyjnego WordPressa.
Inne podatności w WPFunnels
Zobacz wszystkie- CVE-2026-79632Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie przeprowadza autoryzacji ani sprawdzenia nonce w jednym z handlerów subskrypcji opt-in, a odbiorców i temat powiadomień pobiera z żądania. Pozwala to nieuwierzytelnionym użytkownikom na wysyłanie e-maili do dowolnych odbiorców z dowolnym tematem.
- CVE-2026-79631Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie ogranicza dostępu do plików logów, które zapisuje w przewidywalnej lokalizacji w publicznym katalogu uploads. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie danych zamówień klientów i zgłoszeń opt-in, gdy logowanie jest włączone.
- CVE-2026-79630Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie weryfikuje, czy produkt żądany przez tzw. order bump jest tym produktem, dla którego skonfigurowano zniżkę. Pozwala to nieuwierzytelnionym użytkownikom na uzyskanie dowolnego produktu ze zniżką przeznaczoną dla innego produktu, a obniżona cena jest przenoszona na całkowitą wartość zamówienia.
- CVE-2026-84754Średnie
Wtyczka WPFunnels w wersjach do 3.12.13 zawiera podatność na złamanie kontroli dostępu bez uwierzytelnienia. Umożliwia to nieautoryzowany dostęp do funkcji, które powinny być chronione.
- CVE-2026-15103Wysokie
Wtyczka WPFunnels dla WordPressa do wersji 3.12.8 zawiera podatność na eskalację uprawnień poprzez dowolną aktualizację opcji. Brak walidacji parametru `group_id` w REST API pozwala atakującym z uprawnieniami `wpf_manage_funnels` na modyfikację opcji `wp_user_roles`, co umożliwia nadanie sobie roli administratora.
- CVE-2026-13080Średnie
Wtyczka WPFunnels dla WordPressa jest podatna na lokalne dołączanie plików (LFI) we wszystkich wersjach do 3.12.7 włącznie. Podatność występuje przez parametr 'logKey', umożliwiając uwierzytelnionym atakującym z dostępem administratora dołączanie i wykonywanie dowolnych plików .php na serwerze.
- CVE-2026-0626Średnie
Podatność Stored Cross-Site Scripting (XSS) w WordPress WPFunnels plugin do wersji 3.7.9. Poprzez shortcode 'wpf_optin_form' i parametr 'button_icon' atakujący z dostępem na poziomie contributor lub wyższym mogą wstrzyknąć dowolny skrypt, który wykona się przy odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 3.12.7 via the 'postData' parameter parameter. This is due to unsanitized write of attacker-controlled postData values into a PHP-includeable .log file combined with the use of include_once to render that file in wpfnl_show_log. This makes it possible for unauthenticated attackers to execute code on the server. Exploitation requires that the Log Settings "Enable Logs" toggle is on and that an administrator subsequently opens the polluted log file via the plugin's Log Settings View UI; however, the nonce required to reach the optin endpoint is publicly emitted on every funnel step page, so the injection step itself is fully unauthenticated.