CVE-2026-79631
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie ogranicza dostępu do plików logów, które zapisuje w przewidywalnej lokalizacji w publicznym katalogu uploads. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie danych zamówień klientów i zgłoszeń opt-in, gdy logowanie jest włączone.
Ocena ryzyka
Poufne dane klientów, takie jak szczegóły zamówień i dane osobowe, mogą zostać ujawnione publicznie, co narusza przepisy o ochronie danych i może prowadzić do kradzieży tożsamości.
Rekomendacja
Należy zaktualizować wtyczkę WPFunnels do wersji 3.13.0 lub nowszej oraz rozważyć wyłączenie logowania lub zabezpieczenie katalogu logów.
Inne podatności w WPFunnels
Zobacz wszystkie- CVE-2026-14345Krytyczne
Wtyczka WPFunnels dla WordPressa w wersjach do 3.12.7 zawiera podatność na zdalne wykonanie kodu (RCE) przez parametr 'postData'. Atakujący bez uwierzytelnienia może zapisać złośliwe dane do pliku .log, który następnie jest dołączany przez funkcję include_once, co umożliwia wykonanie kodu na serwerze. Warunkiem jest włączenie logowania w ustawieniach wtyczki oraz otwarcie skażonego pliku przez administratora w interfejsie logów.
- CVE-2026-79632Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie przeprowadza autoryzacji ani sprawdzenia nonce w jednym z handlerów subskrypcji opt-in, a odbiorców i temat powiadomień pobiera z żądania. Pozwala to nieuwierzytelnionym użytkownikom na wysyłanie e-maili do dowolnych odbiorców z dowolnym tematem.
- CVE-2026-79630Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie weryfikuje, czy produkt żądany przez tzw. order bump jest tym produktem, dla którego skonfigurowano zniżkę. Pozwala to nieuwierzytelnionym użytkownikom na uzyskanie dowolnego produktu ze zniżką przeznaczoną dla innego produktu, a obniżona cena jest przenoszona na całkowitą wartość zamówienia.
- CVE-2026-84754Średnie
Wtyczka WPFunnels w wersjach do 3.12.13 zawiera podatność na złamanie kontroli dostępu bez uwierzytelnienia. Umożliwia to nieautoryzowany dostęp do funkcji, które powinny być chronione.
- CVE-2026-15103Wysokie
Wtyczka WPFunnels dla WordPressa do wersji 3.12.8 zawiera podatność na eskalację uprawnień poprzez dowolną aktualizację opcji. Brak walidacji parametru `group_id` w REST API pozwala atakującym z uprawnieniami `wpf_manage_funnels` na modyfikację opcji `wp_user_roles`, co umożliwia nadanie sobie roli administratora.
- CVE-2026-13080Średnie
Wtyczka WPFunnels dla WordPressa jest podatna na lokalne dołączanie plików (LFI) we wszystkich wersjach do 3.12.7 włącznie. Podatność występuje przez parametr 'logKey', umożliwiając uwierzytelnionym atakującym z dostępem administratora dołączanie i wykonywanie dowolnych plików .php na serwerze.
- CVE-2026-0626Średnie
Podatność Stored Cross-Site Scripting (XSS) w WordPress WPFunnels plugin do wersji 3.7.9. Poprzez shortcode 'wpf_optin_form' i parametr 'button_icon' atakujący z dostępem na poziomie contributor lub wyższym mogą wstrzyknąć dowolny skrypt, który wykona się przy odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The WPFunnels WordPress plugin before 3.13.0 does not restrict access to the log files it writes to a predictable location under the public uploads directory, allowing unauthenticated users to download customer order details and opt-in form submissions when logging is enabled.