🔴 CVE-2026-14345: Critical Schwachstelle

„`html

Zusammenfassung

Das WordPress-Plugin „WPFunnels – Funnel Builder for WooCommerce“ ist in allen Versionen bis einschließlich 3.12.7 anfällig für Remote Code Execution (RCE). Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, willkürlichen PHP-Code auf dem betroffenen Server auszuführen. Das CVSS-Rating von 9.8 klassifiziert die Sicherheitslücke als kritisch.

Betroffene Systeme

Plugin: WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell
Betroffene Versionen: ≤ 3.12.7
Plattform: WordPress
Angriffsvektor: Netzwerk (keine physische Nähe erforderlich)
Authentifizierung: Nicht erforderlich

Technische Details

Die Schwachstelle resultiert aus einer unsicheren Behandlung des postData-Parameters. Der Angreifer kann manipulierte Daten in eine PHP-inkluidierbare .log-Datei schreiben. Wenn ein Administrator die Protokolldatei über die Log Settings UI des Plugins aufruft, wird diese Datei mittels include_once in der Funktion wpfnl_show_log eingebunden und ausgeführt.

Angriffsszenario: Die Ausnutzung erfordert, dass die Einstellung „Enable Logs“ in den Log Settings aktiviert ist. Der erforderliche Nonce für den optin-Endpunkt wird jedoch öffentlich auf jeder Funnel-Seite emittiert, was die Injection-Phase vollständig unauthentifiziert macht.

Empfohlene Massnahmen

• Plugin sofort deaktivieren und deinstallieren, bis ein Sicherheits-Patch verfügbar ist
• Log-Funktionalität in den Plugin-Einstellungen deaktivieren (temporäre Mitigation)
• Server-Logs auf verdächtige Einträge überprüfen
• Web Application Firewall (WAF) implementieren zur Filterung verdächtiger postData-Parameter
• Regelmäßige Sicherheits-Audits durchführen
• Plugin-Updates regelmäßig einspielen

Bewertung

CVSS Score: 9.8 (Kritisch)
Patch-Status: Nicht verfügbar
Exploitierbarkeit: Hoch – keine Authentifizierung erforderlich
Urgenz: Sofortige Aktion erforderlich

„`