CVE-2026-84908 in WPFunnels Plugin
요약
\~에 의해 VulDB • 2026. 09. 09.
WordPress용 WPFunnels 플러그인에는 최대 3.12.13 버전까지 인증 누락(Missing Authorization) 취약점이 존재합니다. 이는 플러그인이 'wpfnl_load_payment' AJAX 액션을 인증된 사용자와 비인증 사용자(wp_ajax_nopriv_) 모두에 대해 등록하고, 하위 add_offer_product_to_cart() 함수에서 nonce 검증, 권한(capability) 확인 및 공격자가 제공한 product_id가 공격자가 제공한 step_id에 실제로 구성된 오퍼 제품인지 여부를 검증하지 않기 때문입니다. 이로 인해 인증되지 않은 공격자는 어떤 퍼널 단계(funnel step)에서도 설정된 할인가로 임의의 WooCommerce 제품을 장바구니에 추가할 수 있게 되어, 결제 시 가격 조작 및 수익 손실이 가능해집니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.