CVE-2026-84908
ŚrednieCVSS 5.3Streszczenie
Wtyczka WPFunnels dla WordPressa jest podatna na brak autoryzacji w wersjach do 3.12.13 włącznie. Wtyczka rejestruje akcję AJAX 'wpfnl_load_payment' zarówno dla uwierzytelnionych, jak i nieuwierzytelnionych użytkowników (wp_ajax_nopriv_), a funkcja add_offer_product_to_cart() nie wykonuje weryfikacji nonce, sprawdzenia uprawnień ani walidacji, czy dostarczony product_id jest produktem oferty faktycznie skonfigurowanym na dostarczonym step_id. Umożliwia to nieuwierzytelnionym atakującym dodanie dowolnych produktów WooCommerce do koszyka po dowolnej obniżonej cenie skonfigurowanej na dowolnym etapie lejka, co prowadzi do manipulacji cenami i utraty przychodów przy kasie.
Ocena ryzyka
Organizacja może ponosić straty finansowe z powodu manipulacji cenami i nieautoryzowanego dodawania produktów do koszyka. Może to również prowadzić do nadużyć i zakłóceń w procesie sprzedaży.
Rekomendacja
Zaleca się aktualizację wtyczki WPFunnels do najnowszej wersji. Należy również dodać odpowiednie sprawdzenia nonce i uprawnień w funkcji add_offer_product_to_cart() oraz walidację product_id i step_id.
Inne podatności w WPFunnels
Zobacz wszystkie- CVE-2026-14345Krytyczne
Wtyczka WPFunnels dla WordPressa w wersjach do 3.12.7 zawiera podatność na zdalne wykonanie kodu (RCE) przez parametr 'postData'. Atakujący bez uwierzytelnienia może zapisać złośliwe dane do pliku .log, który następnie jest dołączany przez funkcję include_once, co umożliwia wykonanie kodu na serwerze. Warunkiem jest włączenie logowania w ustawieniach wtyczki oraz otwarcie skażonego pliku przez administratora w interfejsie logów.
- CVE-2026-79632Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie przeprowadza autoryzacji ani sprawdzenia nonce w jednym z handlerów subskrypcji opt-in, a odbiorców i temat powiadomień pobiera z żądania. Pozwala to nieuwierzytelnionym użytkownikom na wysyłanie e-maili do dowolnych odbiorców z dowolnym tematem.
- CVE-2026-79631Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie ogranicza dostępu do plików logów, które zapisuje w przewidywalnej lokalizacji w publicznym katalogu uploads. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie danych zamówień klientów i zgłoszeń opt-in, gdy logowanie jest włączone.
- CVE-2026-79630Średnie
Wtyczka WPFunnels do WordPressa przed wersją 3.13.0 nie weryfikuje, czy produkt żądany przez tzw. order bump jest tym produktem, dla którego skonfigurowano zniżkę. Pozwala to nieuwierzytelnionym użytkownikom na uzyskanie dowolnego produktu ze zniżką przeznaczoną dla innego produktu, a obniżona cena jest przenoszona na całkowitą wartość zamówienia.
- CVE-2026-84754Średnie
Wtyczka WPFunnels w wersjach do 3.12.13 zawiera podatność na złamanie kontroli dostępu bez uwierzytelnienia. Umożliwia to nieautoryzowany dostęp do funkcji, które powinny być chronione.
- CVE-2026-15103Wysokie
Wtyczka WPFunnels dla WordPressa do wersji 3.12.8 zawiera podatność na eskalację uprawnień poprzez dowolną aktualizację opcji. Brak walidacji parametru `group_id` w REST API pozwala atakującym z uprawnieniami `wpf_manage_funnels` na modyfikację opcji `wp_user_roles`, co umożliwia nadanie sobie roli administratora.
- CVE-2026-13080Średnie
Wtyczka WPFunnels dla WordPressa jest podatna na lokalne dołączanie plików (LFI) we wszystkich wersjach do 3.12.7 włącznie. Podatność występuje przez parametr 'logKey', umożliwiając uwierzytelnionym atakującym z dostępem administratora dołączanie i wykonywanie dowolnych plików .php na serwerze.
- CVE-2026-0626Średnie
Podatność Stored Cross-Site Scripting (XSS) w WordPress WPFunnels plugin do wersji 3.7.9. Poprzez shortcode 'wpf_optin_form' i parametr 'button_icon' atakujący z dostępem na poziomie contributor lub wyższym mogą wstrzyknąć dowolny skrypt, który wykona się przy odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The WPFunnels plugin for WordPress is vulnerable to Missing Authorization in versions up to, and including, 3.12.13. This is due to the plugin registering the 'wpfnl_load_payment' AJAX action for both authenticated and unauthenticated (wp_ajax_nopriv_) users and the underlying add_offer_product_to_cart() function performing no nonce verification, no capability check, and no validation that the attacker-supplied product_id is the offer product actually configured on the attacker-supplied step_id. This makes it possible for unauthenticated attackers to add arbitrary WooCommerce products to a cart at any discounted price configured on any funnel step, enabling price manipulation and revenue loss at checkout.