CVE-2026-119163

Nome do Software Vulnerável e Versões Afetadas FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce versões anteriores a 3.8.5.3

Descrição Existe um problema onde invasores não autenticados podem realizar uma Injeção de SQL baseada em tempo, uma técnica usada para inferir dados de um banco de dados observando o tempo que o servidor leva para responder a consultas específicas. Isso ocorre devido à escape insuficiente da entrada fornecida pelo usuário e falta de preparação na consulta SQL. O ataque é um processo persistido de duas etapas: um invasor envia um valor bwfan cart id manipulado durante um checkout da Store API como convidado, e a injeção é executada quando um trabalho agendado do Action Scheduler recarrega os metadados armazenados durante uma transição de status do pedido. Isso pode ser usado para extrair informações sensíveis do banco de dados.

Recomendações Atualize o FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce para a versão 3.8.5.3 ou posterior. Como mitigação temporária, evite usar o parâmetro bwfan cart id no processo de checkout da Store API.