FunnelKit Funnel Builder Arbitrary Code Injection via Checkout Endpoint (CVE-2026-4700)

脆弱性要約：FunnelKit Funnel Builder のクリティカルな脆弱性 脆弱性概要 脆弱性名称：Funnel Builder における任意のコード注入脆弱性 CVE番号：CVE-2026-4700 CVSSスコア：8.7 (High / 高) 脆弱性原理：Funnel Builder には公開されたチェックアウトエンドポイントが含まれており、攻撃者が実行する内部メソッドを選択できます。旧バージョンでは、呼び出し元の権限チェックや許可されるメソッドの制限が行われていませんでした。攻撃者は未承認の要求を通じて内部メソッドにアクセスし、プラグインのグローバル設定に攻撃者が制御するデータを書き込むことができます。その後、これらのデータはチェックアウトページに表示されるため、攻撃者は タグを仕込み、毎回の決済取引時に悪意のあるコードを実行することが可能になります。 攻撃手法：攻撃者は、あたかも通常の分析コードであるかのように装い、実際にはクレジットカードデータの窃盗スクリプト（スキマー）を読み込む偽造の Google Tag Manager スクリプトを注入します。 影響範囲 影響を受けるプラグイン：FunnelKit by FunnelKit 影響を受けるバージョン：3.15.0.3 より前のすべてのバージョン 影響規模：40,000 以上の WooCommerce チェックアウトページ データリスク：チェックアウト時に入力される個人情報（クレジットカード番号、CVV、請求先アドレスなど）の窃盗 修復方法 1. プラグインの更新：FunnelKit プラグインを最新バージョン（3.15.0.3 以降）に更新してください。 2. 設定の確認：WordPress の管理画面で （またはその他のスクリプト設定）を確認し、見知らぬスクリプトがあればすべて削除してください。 3. セキュリティスキャンの実行：eComScan などのツールを使用して、ストア内に既にこのスキマーやその他のマルウェアが存在していないか検出してください。 POC/利用コード ページ中で提供されている悪意のあるペイロードの例： その後のロードロジックの解説： このスクリプトはページ読み込み時に Base64 エンコードされた文字列をデコードし、外部スクリプトとして読み込みます： このローダーは攻撃者の C2 サーバーとの WebSocket 接続を確立します： この接続を通じて、攻撃者は被害者のストアにスキマーをストリーミングし、クレジットカード番号、CVV、請求先アドレスなどの個人情報を窃取します。 脅威指標（Indicators of Compromise）

目標達成 すべての支援者に感謝 — 100%達成しました！

FunnelKit Funnel Builder Arbitrary Code Injection via Checkout Endpoint (CVE-2026-4700)

目標達成すべての支援者に感謝 — 100%達成しました！