CVE-2026-109991

Nome do Software Vulnerável e Versões Afetadas FunnelKit Payment Gateway for Stripe WooCommerce plugin for WordPress versões anteriores a 1.16.0

Descrição Existe uma Referência Direta a Objeto Insegura devido à falta de validação em uma chave controlada pelo usuário. Atacantes não autenticados podem ler informações de identificação pessoal (PII) de faturamento, como nome, endereço de e-mail, número de telefone e endereço completo, enumerando IDs de pedido sequenciais. Isso ocorre porque os dados são emitidos no objeto JavaScript inline fkwcs data via wp localize script em cada resposta de página correspondente. O problema persiste mesmo que o WooCommerce rejeite a requisição, pois a chamada de script do plugin funciona independentemente da validação de chave de pedido padrão. O endpoint afetado é '/checkout/order-pay//' utilizando o parâmetro order-pay.

Recomendações Atualizar para a versão 1.16.0.