CVE-2026-39738
KrytyczneCVSS 9.8Streszczenie
Wtyczka WordPress FunnelKit Automations w wersjach do 3.8.6.1 zawiera podatność na wstrzyknięcie obiektu PHP (PHP Object Injection), którą można wykorzystać bez uwierzytelnienia.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykorzystać podatność do wstrzyknięcia obiektu PHP, co potencjalnie prowadzi do zdalnego wykonania kodu lub przejęcia witryny.
Rekomendacja
Zaktualizuj wtyczkę FunnelKit Automations do wersji nowszej niż 3.8.6.1 lub ją wyłącz, jeśli aktualizacja nie jest dostępna.
Inne podatności w FunnelKit Automations
Zobacz wszystkie- CVE-2026-111411Krytyczne
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od n/a do 3.8.5.2.
- CVE-2026-111841Wysokie
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Cross-Site Request Forgery (CSRF). Luka dotyczy wersji od nieznanej do 3.8.5.2 włącznie.
- CVE-2026-39450Wysokie
W wersjach FunnelKit Automations do 3.7.3 występuje problem z błędną autoryzacją subskrybentów.
- CVE-2025-12469Średnie
Wtyczka FunnelKit Automations dla WordPress i WooCommerce do wersji 3.6.4.1 ma brak autoryzacji w obsłudze AJAX bwfan_test_email. Nonce jest publicznie ujawniany wszystkim odwiedzającym, a funkcja check_nonce() akceptuje użytkowników o niskich uprawnieniach. Umożliwia to uwierzytelnionym atakującym z poziomem Subscriber wysyłanie dowolnych e-maili z witryny.
- CVE-2025-12468Średnie
Wtyczka FunnelKit Automations dla WordPressa i WooCommerce w wersjach do 3.6.4.1 włącznie zawiera podatność na ujawnienie wrażliwych informacji przez endpoint REST API '/wc-coupons/'. Endpoint jest oznaczony jako publiczny (public_api = true) i zarejestrowany z permission_callback => '__return_true', co omija uwierzytelnianie i sprawdzanie uprawnień. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie kodów kuponów WooCommerce, ich identyfikatorów i statusu ważności.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated PHP Object Injection in FunnelKit Automations <= 3.8.6.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS