CVE-2026-84908 in WPFunnels Plugin
要約
〜によって VulDB • 2026年09月09日
WordPress用プラグイン「WPFunnels」には、バージョン3.12.13（当該バージョンを含む）まで欠落した認証（Missing Authorization）の脆弱性が存在します。これは、プラグインが 'wpfnl_load_payment' AJAXアクションを認証済みユーザーと未認証ユーザー（wp_ajax_nopriv_）の両方に登録しており、基盤となる add_offer_product_to_cart() 関数でnonce検証が行われておらず、権限チェックも行われていないこと、さらに攻撃者が指定した product_id が、攻撃者が指定した step_id に実際に設定されているオファー商品であるかどうかの検証もされていないためです。これにより、未認証の攻撃者は任意のファンネルステップに設定された割引価格で任意のWooCommerce製品をカートに追加することが可能となり、チェックアウト時の価格改ざんや収益損失を引き起こす可能性があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.