CVE-2026-39738
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress FunnelKit Automations (wp-marketing-automations) do wersji 3.8.6.1 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Może to prowadzić do wykonania niebezpiecznych operacji przez atakującego.
Ocena ryzyka
Wstrzyknięcie obiektu może pozwolić na wykonanie kodu lub nieautoryzowane działania w kontekście WordPressa, co grozi przejęciem witryny lub wyciekiem danych.
Rekomendacja
Zaktualizuj wtyczkę FunnelKit Automations do wersji nowszej niż 3.8.6.1 i zweryfikuj, czy witryna nie została naruszona.
Inne podatności w FunnelKit Automations
Zobacz wszystkie- CVE-2026-111411Krytyczne
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od n/a do 3.8.5.2.
- CVE-2026-111841Wysokie
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Cross-Site Request Forgery (CSRF). Luka dotyczy wersji od nieznanej do 3.8.5.2 włącznie.
- CVE-2026-39450Wysokie
W wersjach FunnelKit Automations do 3.7.3 występuje problem z błędną autoryzacją subskrybentów.
- CVE-2025-12469Średnie
Wtyczka FunnelKit Automations dla WordPress i WooCommerce do wersji 3.6.4.1 ma brak autoryzacji w obsłudze AJAX bwfan_test_email. Nonce jest publicznie ujawniany wszystkim odwiedzającym, a funkcja check_nonce() akceptuje użytkowników o niskich uprawnieniach. Umożliwia to uwierzytelnionym atakującym z poziomem Subscriber wysyłanie dowolnych e-maili z witryny.
- CVE-2025-12468Średnie
Wtyczka FunnelKit Automations dla WordPressa i WooCommerce w wersjach do 3.6.4.1 włącznie zawiera podatność na ujawnienie wrażliwych informacji przez endpoint REST API '/wc-coupons/'. Endpoint jest oznaczony jako publiczny (public_api = true) i zarejestrowany z permission_callback => '__return_true', co omija uwierzytelnianie i sprawdzanie uprawnień. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie kodów kuponów WooCommerce, ich identyfikatorów i statusu ważności.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in Aman FunnelKit Automations wp-marketing-automations allows Object Injection.This issue affects FunnelKit Automations: from n/a through 3.8.6.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS