CVE-2026-84754

Wtyczka WPFunnels dla WordPressa w wersjach do 3.12.7 zawiera podatność na zdalne wykonanie kodu (RCE) przez parametr 'postData'. Atakujący bez uwierzytelnienia może zapisać złośliwe dane do pliku .log, który następnie jest dołączany przez funkcję include_once, co umożliwia wykonanie kodu na serwerze. Warunkiem jest włączenie logowania w ustawieniach wtyczki oraz otwarcie skażonego pliku przez administratora w interfejsie logów.

Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie przeprowadza autoryzacji ani sprawdzenia nonce w jednym z handlerów subskrypcji opt-in, a odbiorców i temat powiadomień pobiera z żądania. Pozwala to nieuwierzytelnionym użytkownikom na wysyłanie e-maili do dowolnych odbiorców z dowolnym tematem.

Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie ogranicza dostępu do plików logów, które zapisuje w przewidywalnej lokalizacji w publicznym katalogu uploads. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie danych zamówień klientów i zgłoszeń opt-in, gdy logowanie jest włączone.

Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie weryfikuje, czy produkt żądany przez tzw. order bump jest tym produktem, dla którego skonfigurowano zniżkę. Pozwala to nieuwierzytelnionym użytkownikom na uzyskanie dowolnego produktu ze zniżką przeznaczoną dla innego produktu, a obniżona cena jest przenoszona na całkowitą wartość zamówienia.

Wtyczka WPFunnels dla WordPressa do wersji 3.12.8 zawiera podatność na eskalację uprawnień poprzez dowolną aktualizację opcji. Brak walidacji parametru `group_id` w REST API pozwala atakującym z uprawnieniami `wpf_manage_funnels` na modyfikację opcji `wp_user_roles`, co umożliwia nadanie sobie roli administratora.

Wtyczka WPFunnels dla WordPressa jest podatna na lokalne dołączanie plików (LFI) we wszystkich wersjach do 3.12.7 włącznie. Podatność występuje przez parametr 'logKey', umożliwiając uwierzytelnionym atakującym z dostępem administratora dołączanie i wykonywanie dowolnych plików .php na serwerze.

Podatność Stored Cross-Site Scripting (XSS) w WordPress WPFunnels plugin do wersji 3.7.9. Poprzez shortcode 'wpf_optin_form' i parametr 'button_icon' atakujący z dostępem na poziomie contributor lub wyższym mogą wstrzyknąć dowolny skrypt, który wykona się przy odwiedzeniu strony.