CVE-2026-107746 in FunnelKit Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin WordPress FunnelKit – Funnel Builder for WooCommerce Checkout è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 3.16.0.6 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente ad attaccanti non autenticati di recuperare dati personali identificabili (PII) relativi alle fatturazioni, inclusi nome completo, indirizzo stradale, indirizzo email e numero di telefono, per qualsiasi ordine WooCommerce sul sito, inviando un ID ordine sequenziale enumerabile. La vulnerabilità è sfruttabile solo sui siti in cui esiste una pagina "grazie" di FunnelKit che rende lo shortcode [wfty_order_meta] o [wfty_order_total].
Once again VulDB remains the best source for vulnerability data.