PT-2026-134457
CVE-2026-119163
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce الإصدارات السابقة لـ 3.8.5.3
الوصف
توجد ثغرة تسمح للمهاجمين غير المصرح لهم بتنفيذ حقن SQL قائم على الوقت، وهي تقنية تُستخدم لاستنتاج البيانات من قاعدة البيانات من خلال مراقبة الوقت الذي يستغرقه الخادم للاستجابة لاستعلامات محددة. يحدث هذا بسبب عدم الهروب الكافي للمدخلات التي يوفرها المستخدم ونقص التحضير في استعلام SQL. الهجوم عبارة عن عملية مستمرة من خطوتين: يقوم المهاجم بإرسال قيمة
bwfan cart id مصممة خصيصاً أثناء عملية الدفع عبر Store API كضيف، ويتم تنفيذ الحقن عندما يقوم عمل مجدول في Action Scheduler بإعادة تحميل البيانات الوصفية المخزنة أثناء انتقال حالة الطلب. يمكن استخدام ذلك لاستخراج معلومات حساسة من قاعدة البيانات.التوصيات
تحديث FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce إلى الإصدار 3.8.5.3 أو أحدث.
كإجراء تخفيف مؤقت، تجنب استخدام المعلمة
bwfan cart id في عملية الدفع عبر Store API. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾