CVE-2025-12468
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka FunnelKit Automations dla WordPressa i WooCommerce w wersjach do 3.6.4.1 włącznie zawiera podatność na ujawnienie wrażliwych informacji przez endpoint REST API '/wc-coupons/'. Endpoint jest oznaczony jako publiczny (public_api = true) i zarejestrowany z permission_callback => '__return_true', co omija uwierzytelnianie i sprawdzanie uprawnień. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie kodów kuponów WooCommerce, ich identyfikatorów i statusu ważności.
Ocena ryzyka
Atakujący bez logowania może pobrać wszystkie kody kuponów i powiązane dane, co może prowadzić do nadużyć promocyjnych i strat finansowych. Ujawnienie tych informacji może również ułatwić dalsze ataki socjotechniczne.
Rekomendacja
Zaktualizuj wtyczkę FunnelKit Automations do wersji nowszej niż 3.6.4.1, która naprawia podatność. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointu '/wc-coupons/' lub wyłączenie wtyczki.
Inne podatności w FunnelKit Automations
Zobacz wszystkie- CVE-2026-39738Krytyczne
Wtyczka WordPress FunnelKit Automations (wp-marketing-automations) do wersji 3.8.6.1 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Może to prowadzić do wykonania niebezpiecznych operacji przez atakującego.
- CVE-2026-111411Krytyczne
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od n/a do 3.8.5.2.
- CVE-2026-111841Wysokie
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Cross-Site Request Forgery (CSRF). Luka dotyczy wersji od nieznanej do 3.8.5.2 włącznie.
- CVE-2026-39450Wysokie
W wersjach FunnelKit Automations do 3.7.3 występuje problem z błędną autoryzacją subskrybentów.
- CVE-2025-12469Średnie
Wtyczka FunnelKit Automations dla WordPress i WooCommerce do wersji 3.6.4.1 ma brak autoryzacji w obsłudze AJAX bwfan_test_email. Nonce jest publicznie ujawniany wszystkim odwiedzającym, a funkcja check_nonce() akceptuje użytkowników o niskich uprawnieniach. Umożliwia to uwierzytelnionym atakującym z poziomem Subscriber wysyłanie dowolnych e-maili z witryny.
Oryginalny opis (angielski, źródło NVD)
The FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 3.6.4.1 via the '/wc-coupons/' REST API endpoint. This is due to the endpoint being marked as a public API (`public_api = true`), which results in the endpoint being registered with `permission_callback => '__return_true'`, bypassing all authentication and capability checks. This makes it possible for unauthenticated attackers to extract sensitive data including all WooCommerce coupon codes, coupon IDs, and expiration status.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS