CVE-2026-3645 in Punnel Plugin
Tóm tắt
Bởi VulDB • 28/05/2026
Plugin "The Punnel – Landing Page Builder" cho WordPress có lỗ hổng Thiếu Xác thực (Missing Authorization) trong tất cả các phiên bản từ 1.3.1 trở về trước. Hàm save_config(), xử lý hành động AJAX 'punnel_save_config', thiếu bất kỳ kiểm tra quyền nào (current_user_can()) và xác minh nonce. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp Subscriber trở lên, ghi đè toàn bộ cấu hình của plugin, bao gồm cả khóa API, thông qua yêu cầu POST tới admin-ajax.php. Một khi khóa API đã được biết (do kẻ tấn công thiết lập), kẻ tấn công có thể sử dụng điểm cuối API công khai của plugin (sniff_requests() tại /?punnel_api=1) — điểm cuối này chỉ xác thực các yêu cầu bằng cách so sánh một token POST với api_key đã lưu trữ — để tạo, cập nhật hoặc xóa các bài viết, trang và sản phẩm tùy ý trên trang web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.