CVE-2026-57816
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Funnel Builder dla WordPressa zawiera podatność na odbity XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod JavaScript do parametrów żądania HTTP, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przekierowania do złośliwych stron lub wykonania innych działań w kontekście sesji administratora. Atak może być wykorzystany do przejęcia kontroli nad stroną WordPress.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Funnel Builder do wersji 3.15.0.9 lub nowszej, która zawiera poprawkę eliminującą podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego oraz stosowanie zapór aplikacyjnych (WAF).
Inne podatności w Funnel Builder by FunnelKit
Zobacz wszystkie- CVE-2026-42381Krytyczne
W wersjach Funnel Builder by FunnelKit do 3.15.0.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-48966Wysokie
W wersjach Funnel Builder by FunnelKit do 3.15.0.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in FunnelKit Funnel Builder by FunnelKit funnel-builder allows Reflected XSS.This issue affects Funnel Builder by FunnelKit: from n/a through <= 3.15.0.8.