CVE-2026-84908 in WPFunnels Plugin
Zusammenfassung
von VulDB • 09.09.2026
Das WPFunnels-Plugin für WordPress ist in den Versionen bis einschließlich 3.12.13 anfällig für Missing Authorization (fehlende Autorisierung). Dies liegt daran, dass das Plugin die AJAX-Aktion 'wpfnl_load_payment' sowohl für authentifizierte als auch für nicht-authentifizierte Benutzer (wp_ajax_nopriv_) registriert und die zugrunde liegende Funktion add_offer_product_to_cart() keine Nonce-Überprüfung, keinen Capability-Check sowie keine Validierung durchführt, ob das vom Angreifer bereitgestellte product_id tatsächlich dem Angebotsprodukt entspricht, das für die vom Angreifer angegebene step_id konfiguriert ist. Dies ermöglicht es nicht-authentifizierten Angreifern, beliebige WooCommerce-Produkte zu jedem auf einer Funnel-Schritt-Konfiguration festgelegten ermäßigten Preis in den Warenkorb hinzuzufügen, was zu Price Manipulation (Preismanipulation) und Einnahmeverlusten beim Checkout führt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.