CVE-2026-84908 in WPFunnels Plugin
الملخص
بحسب VulDB • 09/09/2026
يحتوي الإضافة WPFunnels لـ WordPress على ثغرة تتعلق بغياب المصادقة (Missing Authorization) في الإصدارات حتى 3.12.13 شاملاً. ويعود ذلك إلى قيام الإضافة بتسجيل إجراء AJAX باسم 'wpfnl_load_payment' لكل من المستخدمين المفوضين وغير المفوضين (wp_ajax_nopriv_)، بالإضافة إلى أن الدالة الأساسية `add_offer_product_to_cart()` لا تقوم بإجراء تحقق من الـ nonce، ولا فحص للصلاحيات (capability check)، ولا التحقق من صحة أن المنتج الذي قدمه المهاجم (`product_id`) هو منتج العرض المكون فعلياً على الخطوة التي حددها المهاجم (`step_id`). وهذا يتيح للمهاجمين غير المفوضين إضافة منتجات WooCommerce عشوائية إلى السلة بأي سعر مخفض تم تكوينه في أي خطوة من خطوات القمع (funnel)، مما يمكّنهم من التلاعب بالأسعار والتسبب في خسارة الإيرادات عند إتمام الشراء.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.