CVE-2025-3743: Luka w wtyczce Upsell Funnel Builder dla WooCommerce umożliwia manipulację zamówieniami

Co wiadomo

Wtyczka Upsell Funnel Builder dla WooCommerce w wersjach do 3.0.0 włącznie posiada lukę pozwalającą nieautoryzowanym użytkownikom na manipulację identyfikatorem produktu oraz zniżką w zamówieniach poprzez funkcję 'add_offer_in_cart'. Pozwala to na dowolną zmianę produktów i rabatów w elementach dodatkowych zamówienia.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą zmieniać produkty i zniżki w zamówieniach, co może prowadzić do nieautoryzowanych rabatów lub modyfikacji sprzedaży. Może to skutkować stratami finansowymi oraz zaburzeniem procesów sprzedażowych w sklepach korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć ekspozycję wtyczki, monitorować logi pod kątem nietypowych zmian w zamówieniach oraz priorytetyzować działania naprawcze w środowiskach e-commerce wykorzystujących WooCommerce.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference