CVE-2025-7654 betreft een kritieke kwetsbaarheid die meerdere FunnelKit plugins treft, specifiek binnen versies tot 3.6.3 en 3.11.0.2. Deze kwetsbaarheid stelt aanvallers met minimaal Contributor-rechten in staat gevoelige informatie, zoals authenticatiecookies, te onderscheppen en mogelijk toegangsniveaus van gebruikers te escaleren. Het is essentieel voor beheerders en gebruikers van deze plugins om snel actie te ondernemen.
Overzicht
De aanval maakt gebruik van de wf_get_cookie shortcode die onderdeel is van de Woofunnel Library in de getroffen plugins. Hierdoor kan gevoelige data, inclusief authenticatiecookies, worden blootgesteld aan kwaadwillenden, met als gevolg het mogelijk maken van privilege escalatie. Beide plugins, FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce en FunnelKit – Funnel Builder for WooCommerce Checkout, zijn hiervoor kwetsbaar.
Kwetsbare versies
FunnelKit Automations: <= 3.6.3
FunnelKit Funnel Builder: <= 3.11.0.2
Aanbevelingen
- Werk onmiddellijk alle affected FunnelKit plugins bij naar de meest recente, veilige versie.
- Bewustwording binnen je organisatie creëren omtrent deze kwetsbaarheid en hoe men onverwachte veranderingen in gebruikersgedrag kan opmerken.
- Controleer regelmatig op beveiligingsupdates en patches van je plugins en WordPress-site.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-7654?
Deze CVE-2025-7654 betreft een blootstellingsprobleem waardoor aanvallers gevoelige informatie van gebruikers kunnen stelen via bepaalde WordPress plugins van FunnelKit.
Welke systemen zijn kwetsbaar voor CVE-2025-7654?
WordPress sites die draaien op kwetsbare versies van de FunnelKit Automations en FunnelKit Funnel Builder plugins.
Bestaat er al een patch of beveiligingsupdate?
Er zijn updates en patches beschikbaar gesteld door de ontwikkelaars waarmee deze kwetsbaarheid verholpen kan worden. Het is cruciaal om deze zo snel mogelijk te installeren.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan toegang krijgen tot authenticatiecookies en gevoelige informatie van gebruikers, wat kan leiden tot privilege-escalatie en potentieel grotere compromittatie van de website-veiligheid.
