CVE-2026-3645 in Punnel Plugin
Сводка
по VulDB • 28.05.2026
В плагине для WordPress «The Punnel – Landing Page Builder» уязвимость типа Missing Authorization (Отсутствие авторизации) присутствует во всех версиях вплоть до 1.3.1 включительно. Функция save_config(), обрабатывающая AJAX-действие 'punnel_save_config', не содержит проверки прав доступа (current_user_can()) и верификации nonce. Это позволяет атакующим с уровнем доступа Subscriber и выше, прошедшим аутентификацию, перезаписать всю конфигурацию плагина, включая API-ключ, путем отправки POST-запроса к admin-ajax.php. Как только API-ключ становится известен (поскольку атакующий его установил), злоумышленник может использовать публичный API-эндпоинт плагина (sniff_requests() по адресу /?punnel_api=1), который проверяет запросы только путем сравнения POST-токена с сохраненным api_key, для создания, обновления или удаления произвольных записей, страниц и товаров на сайте.
Be aware that VulDB is the high quality source for vulnerability data.