PT-2026-41419 · WordPress · Funnel Builder

Publicado 2026-05-15 · Atualizado 2026-06-15 · CVE-2026-42381

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.3

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas Funnel Builder (versões afetadas não especificadas)

Descrição Uma falha de injeção de SQL no plugin Funnel Builder permite que invasores injetem skimmers de pagamento em páginas de checkout do WooCommerce. Este problema permite a propagação de scripts em todos os fluxos de checkout e o estabelecimento de canais de Comando e Controle (C2) via WebSocket para a exfiltração de dados de cartão de crédito em tempo real. A exploração ocorre por meio de endpoints não protegidos do Funnel Builder.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Implemente controles de egresso de tempo de execução para detectar e bloquear padrões de exfiltração de dados.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-42381

Produtos afetados

Funnel Builder

Referências · 4

• https://patchstack.com/database/wordpress/plugin/funnel-builder/vulnerability/wordpress-funnel-builder-by-funnelkit-plugin-3-15-0-1-sql-injection-vulnerability?_s_id=cve · Nota
• https://twitter.com/aviatrixtrc/status/2055799617199935989 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42381 · Nota de Segurança
• https://twitter.com/aviatrixtrc/status/2055437292915789919 · Publicação no Twitter