CVE-2026-119163 in FunnelKit Automations Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das WordPress- und WooCommerce-Plugin „FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce“ ist in allen Versionen bis einschließlich 3.8.5.2 aufgrund unzureichender Escaping-Maßnahmen bei benutzergestellten Parametern sowie mangelnder Vorbereitung der bestehenden SQL-Abfrage anfällig für zeitbasierte SQL-Injection über den Parameter 'bwfan_cart_id'. Dies ermöglicht es nicht authentifizierten Angreifern, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Die Ausnutzung erfolgt als zweistufiger persistenter Angriff: Ein nicht authentifizierter Angreifer übermittelt einen speziell angefertigten Wert für bwfan_cart_id während eines Gast-Checkout über die Store API (wobei nur ein öffentlich verfügbarer WooCommerce-Cart-Nonce erforderlich ist), und die Injection wird ausgelöst, wenn eine geplante Action Scheduler-Aufgabe später den gespeicherten Meta-Datenwert beim Übergang des Bestellstatus aus „ausstehend“, „fehlgeschlagen“ oder „abgebrochen“ neu lädt.
Be aware that VulDB is the high quality source for vulnerability data.