CVE-2025-66067
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Funnel Builder by FunnelKit w wersjach do 3.13.1.2 włącznie ma lukę DOM-Based XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy kod jest wykonywany po stronie przeglądarki użytkownika.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika, przejmując sesję lub wykonując akcje w jego imieniu. Wpływa to na poufność i integralność.
Rekomendacja
Zaktualizuj wtyczkę Funnel Builder do wersji nowszej niż 3.13.1.2. Wdróż walidację danych wejściowych i WAF.
Inne podatności w Funnel Builder by FunnelKit
Zobacz wszystkie- CVE-2026-42381Krytyczne
W wersjach Funnel Builder by FunnelKit do 3.15.0.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-57816Wysokie
Wtyczka Funnel Builder dla WordPressa zawiera podatność na odbity XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod JavaScript do parametrów żądania HTTP, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-48966Wysokie
W wersjach Funnel Builder by FunnelKit do 3.15.0.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Aman Funnel Builder by FunnelKit funnel-builder allows DOM-Based XSS.This issue affects Funnel Builder by FunnelKit: from n/a through <= 3.13.1.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS