PT-2025-45100
CVE-2025-12468
·
تاريخ النشر
2025-11-04
·
تاريخ التحديث
2026-10-18
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
FunnelKit Automations – أتمتة التسويق عبر البريد الإلكتروني وإدارة علاقات العملاء (CRM) لـ WordPress و WooCommerce، حتى الإصدار 3.6.4.1 بما في ذلك
الوصف
يحتوي البرنامج على ثغرة تسمح للمهاجمين غير المصادق عليهم باستخراج بيانات حساسة، بما في ذلك أكواد القسائم الخاصة بـ WooCommerce، ومعرّفات القسائم، وحالة انتهاء الصلاحية. ويرجع ذلك إلى أن نقطة نهاية واجهة برمجة التطبيقات (API) REST ’/wc-coupons/‘ قد تم تكوينها كواجهة برمجة تطبيقات عامة (
public api = true) وتتجاوز عمليات التحقق من المصادقة عبر permission callback => ’ return true‘.التوصيات
يجب تحديث الإصدارات الأقدم من 3.6.4.1. كحل مؤقت، قم بتقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API)
/wc-coupons/. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾