CVE-2026-14345
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Wtyczka WPFunnels dla WordPressa w wersjach do 3.12.7 zawiera podatność na zdalne wykonanie kodu (RCE) przez parametr 'postData'. Atakujący bez uwierzytelnienia może zapisać złośliwe dane do pliku .log, który następnie jest dołączany przez funkcję include_once, co umożliwia wykonanie kodu na serwerze. Warunkiem jest włączenie logowania w ustawieniach wtyczki oraz otwarcie skażonego pliku przez administratora w interfejsie logów.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne – nieuwierzytelniony atakujący może przejąć kontrolę nad serwerem WordPress, co prowadzi do kradzieży danych, modyfikacji treści lub dalszego rozprzestrzeniania ataku. Wymagana jest interakcja administratora, ale sama iniekcja jest w pełni nieuwierzytelniona.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę WPFunnels do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest możliwa, wyłącz opcję 'Enable Logs' w ustawieniach logowania wtyczki i ogranicz dostęp do panelu administracyjnego WordPressa.
Oryginalny opis (angielski, źródło NVD)
The WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 3.12.7 via the 'postData' parameter parameter. This is due to unsanitized write of attacker-controlled postData values into a PHP-includeable .log file combined with the use of include_once to render that file in wpfnl_show_log. This makes it possible for unauthenticated attackers to execute code on the server. Exploitation requires that the Log Settings "Enable Logs" toggle is on and that an administrator subsequently opens the polluted log file via the plugin's Log Settings View UI; however, the nonce required to reach the optin endpoint is publicly emitted on every funnel step page, so the injection step itself is fully unauthenticated.