CVE-2026-15103
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka WPFunnels dla WordPressa do wersji 3.12.8 zawiera podatność na eskalację uprawnień poprzez dowolną aktualizację opcji. Brak walidacji parametru `group_id` w REST API pozwala atakującym z uprawnieniami `wpf_manage_funnels` na modyfikację opcji `wp_user_roles`, co umożliwia nadanie sobie roli administratora.
Ocena ryzyka
Organizacja ryzykuje przejęcie pełnej kontroli nad WordPressem przez atakującego z ograniczonymi uprawnieniami, co może prowadzić do kradzieży danych, defacementu lub instalacji złośliwego oprogramowania.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WPFunnels do wersji 3.12.9 lub nowszej, która zawiera poprawkę. Do czasu aktualizacji ogranicz dostęp do kont z uprawnieniem `wpf_manage_funnels`.
Inne podatności w WPFunnels
Zobacz wszystkie- CVE-2026-97271Wysokie
Wtyczka WPFunnels w wersjach do 3.13.1 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-27371Wysokie
Wtyczka WPFunnels w wersji 3.13.1 i starszych zawiera podatność na Cross Site Scripting (XSS) bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2026-14345Krytyczne
Wtyczka WPFunnels dla WordPressa w wersjach do 3.12.7 zawiera podatność na zdalne wykonanie kodu (RCE) przez parametr 'postData'. Atakujący bez uwierzytelnienia może zapisać złośliwe dane do pliku .log, który następnie jest dołączany przez funkcję include_once, co umożliwia wykonanie kodu na serwerze. Warunkiem jest włączenie logowania w ustawieniach wtyczki oraz otwarcie skażonego pliku przez administratora w interfejsie logów.
- CVE-2026-62029Średnie
Wtyczka WPFunnels dla WordPressa do wersji 3.13.3 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych.
- CVE-2026-97269Średnie
Podatność nieuwierzytelnionych niebezpiecznych bezpośrednich odwołań do obiektów (IDOR) w WPFunnels w wersjach do 3.13.1 pozwala atakującemu na dostęp do zasobów bez autoryzacji.
- CVE-2026-84908Średnie
Wtyczka WPFunnels dla WordPressa jest podatna na brak autoryzacji w wersjach do 3.12.13 włącznie. Wtyczka rejestruje akcję AJAX 'wpfnl_load_payment' zarówno dla uwierzytelnionych, jak i nieuwierzytelnionych użytkowników (wp_ajax_nopriv_), a funkcja add_offer_product_to_cart() nie wykonuje weryfikacji nonce, sprawdzenia uprawnień ani walidacji, czy dostarczony product_id jest produktem oferty faktycznie skonfigurowanym na dostarczonym step_id. Umożliwia to nieuwierzytelnionym atakującym dodanie dowolnych produktów WooCommerce do koszyka po dowolnej obniżonej cenie skonfigurowanej na dowolnym etapie lejka, co prowadzi do manipulacji cenami i utraty przychodów przy kasie.
- CVE-2026-79632Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie przeprowadza autoryzacji ani sprawdzenia nonce w jednym z handlerów subskrypcji opt-in, a odbiorców i temat powiadomień pobiera z żądania. Pozwala to nieuwierzytelnionym użytkownikom na wysyłanie e-maili do dowolnych odbiorców z dowolnym tematem.
- CVE-2026-79631Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie ogranicza dostępu do plików logów, które zapisuje w przewidywalnej lokalizacji w publicznym katalogu uploads. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie danych zamówień klientów i zgłoszeń opt-in, gdy logowanie jest włączone.
- CVE-2026-79630Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie weryfikuje, czy produkt żądany przez tzw. order bump jest tym produktem, dla którego skonfigurowano zniżkę. Pozwala to nieuwierzytelnionym użytkownikom na uzyskanie dowolnego produktu ze zniżką przeznaczoną dla innego produktu, a obniżona cena jest przenoszona na całkowitą wartość zamówienia.
- CVE-2026-84754Średnie
Wtyczka WPFunnels w wersjach do 3.12.13 zawiera podatność na złamanie kontroli dostępu bez uwierzytelnienia. Umożliwia to nieautoryzowany dostęp do funkcji, które powinny być chronione.
Oryginalny opis (angielski, źródło NVD)
The WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell plugin for WordPress is vulnerable to Privilege Escalation via arbitrary option update in all versions up to, and including, 3.12.8. This is due to the `update_settings()` REST callback failing to validate the `group_id` path parameter against an allowlist of permitted option names before passing it directly to `get_option()` and `update_option()`, allowing the built-in `wp_user_roles` option — which satisfies the route's loose `[\w-]+` regex — to be targeted. This makes it possible for authenticated attackers with the `wpf_manage_funnels` capability and above to elevate their privileges to administrator by writing a crafted role definition containing arbitrary capabilities into the `wp_user_roles` option, thereby granting any WordPress role full site administrator access. The `wpf_manage_funnels` capability is typically assigned to the Funnel Manager custom role created by the plugin, meaning this role is the minimum required to exploit the vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS