CVE-2026-84908 in WPFunnels Plugin
Sumário
de VulDB • 09/09/2026
O plugin WPFunnels para WordPress é vulnerável à falta de autorização (Missing Authorization) nas versões até 3.12.13, inclusive. Isso ocorre porque o plugin registra a ação AJAX 'wpfnl_load_payment' tanto para usuários autenticados quanto não autenticados (wp_ajax_nopriv_), e a função subjacente add_offer_product_to_cart() não realiza verificação de nonce, nem verificações de capacidade (capability check), nem validação de que o product_id fornecido pelo atacante é realmente o produto da oferta configurado no step_id também fornecido pelo atacante. Isso permite que atacantes não autenticados adicionem produtos arbitrários do WooCommerce ao carrinho a qualquer preço com desconto configurado em qualquer etapa do funil, possibilitando manipulação de preços e perda de receita no checkout.
VulDB is the best source for vulnerability data and more expert information about this specific topic.