CVE-2026-14345: Kritisk RCE-fejl i WPFunnels til WordPress

WPFunnels er et plugin til WordPress, der bygger salgstragte og upsell-flows til WooCommerce-webshops. Fejlen ligger i, hvordan plugin’et gemmer logdata. Når funktionen ‘Enable Logs’ er slået til, skriver plugin’et brugerdata fra parameteren postData direkte ind i en logfil uden at rense indholdet. Logfilen har filtypen .log, men plugin’et indlæser den senere med PHP-funktionen include_once, når en administrator åbner logvisningen. Det betyder, at PHP-kode skrevet ind i logfilen bliver kørt af serveren. Det tekniske sikkerhedsnøgletal, der beskriver denne type fejl, kaldes CWE-434 og handler om filer, der kan udnyttes til at indsætte og køre uønsket kode. Den kode, der skal til for at starte injektionen, kræver ikke login, fordi den nødvendige sikkerhedstoken (nonce) vises åbent på alle tragtens sider.

Sårbarheden rammer alle websteder, der bruger WPFunnels i version 3.12.7 og tidligere, sammen med WooCommerce. Det gælder typisk danske webshops og virksomheder, der bruger salgstragte til upsell, checkout-tilpasning eller kampagnesider. Risikoen er størst, hvis logfunktionen ‘Enable Logs’ i plugin’ets logindstillinger er slået til, hvilket ofte sker ved fejlsøgning eller support.

En angriber kan uden at logge ind sende data, der senere bliver kørt som kode på serveren, når en administrator åbner logvisningen. I praksis kan det give fuld kontrol over webserveren: installation af en webshell, adgang til kundedata og betalingsoplysninger i WooCommerce, eller ændring af priser og indhold i webshoppen. For en dansk virksomhed betyder det risiko for datatab, driftsstop og i værste fald en anmeldelsespligtig sikkerhedsbrist efter databeskyttelsesloven.

CVSS-scoren er 9,8 af 10, hvilket er kritisk. Angrebet kan udføres over internettet, kræver ikke login og kræver ingen handling fra offeret for selve injektionen, fordi den nødvendige nonce er offentligt tilgængelig på alle tragtens sider. Det sidste trin, hvor koden faktisk køres, kræver dog, at en administrator åbner logvisningen, mens ‘Enable Logs’ er aktiveret. Der er ikke fundet bevis for, at fejlen er udnyttet i praksis endnu, men angrebsvejen er fuldt beskrevet og teknisk enkel at gennemføre.

Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.

1. Slå ‘Enable Logs’ fra i WPFunnels’ logindstillinger, hvis funktionen er aktiveret. Det stopper angrebsvejen med det samme, uanset om der findes en opdatering endnu.
2. Tjek, om leverandøren har udgivet en nyere version af WPFunnels end 3.12.7, og opdatér til den, så snart den er tilgængelig.
3. Gennemgå eksisterende logfiler under wp-content for usædvanligt indhold, og slet filer, der indeholder kode eller tegn, der ikke hører til en normal logtekst.
4. Begræns adgang til WPFunnels’ administrationsside, for eksempel med IP-begrænsning eller en webapplikationsfirewall.
5. Overvåg webserverens logfiler for uventede POST-anmodninger mod tragtens sider i perioden efter offentliggørelsen.
6. Få hjælp udefra, hvis I ikke selv kan afgøre, om ‘Enable Logs’ har været aktiveret, eller om jeres logfiler er blevet manipuleret.