Sinu WooCommerce’i ostuvorm on avalik. Nii peabki olema, aga see tähendab ka seda, et seal oleva turvaaugu kasutamiseks pole tingimata vaja varastatud parooli. Kaks hiljutist turvateadet puudutavad CartFlowsi ja FunnelKit Automationsit. Riskid on erinevad, nagu ka info selle kohta, kas turvaauke on juba kasutatud.
Uuendamist vajavad CartFlows 3.3.0 ja vanemad ning FunnelKit Automations 3.8.6.1 ja vanemad versioonid. Paigalda mõlema uusim saadaolev väljalase. CartFlows sai paranduse versioonis 3.3.1, FunnelKit Automations versioonis 3.8.6.2.
Mina olen Andrei ja vean WordPressi hoolduse ning turvalisusega tegelevat agentuuri. Minu soovitus on lihtne: kontrolli paigaldatud pluginaid täna, isegi kui kumbki nimi sulle tuttav ei tundu.
CartFlows: võõras saab käivitada lehele paigaldatud lühikoode
WPSec avaldas 3. novembril 2026 turvateate WPSEC-2026-2256 plugina CartFlows - Funnel Builder & Checkout Plugin for WooCommerce kohta. Plugina tunnus on cartflows. Mõjutatud on kõik versioonid kuni 3.3.0-ni, see kaasa arvatud. Parandus on 2. novembril avaldatud versioonis 3.3.1.
Turvaauk võimaldab autentimata kasutajal käivitada suvalisi lühikoode ja kuulub kategooriasse CWE-94. Kõlab keeruliselt. Lihtsamalt öeldes saab kontota külastaja panna sinu lehe töötlema tema etteantud lühikoodi.
Lühikoodid on nurksulgudes juhised, näiteks [example_form]. Plugin registreerib juhise ning WordPress asendab selle plugina pakutava sisuga. Selleks võib olla vorm, kontoga seotud info või mõni muu sisutükk.
CartFlows pani kliendi kontrollitavad andmed oma ostuvormi, liitumisvormi ja tellimuse üksikasjade lühikoodide märgendusse, muutmata lühikoodide nurksulge kahjutuks. See puudutas URL-i päringuparameetritega eeltäidetud ostuvälju, kus sobis iga parameetrinimi. Samuti puudutas see WooCommerce’i teateid, näiteks tundmatu kupongikoodi teadet, ja tellimuse üksikasju.
Probleem tekkis teisel töötlemisringil. Kui CartFlowsi plokid või lehekoostaja vidinad neid lühikoode kuvasid, töödeldi saadud väljundit uuesti lühikoodide leidmiseks. Külastaja sisestatud tekst võis nii muutuda juhiseks.
Sisendi sai anda spetsiaalselt koostatud lingi või kupongikoodiga. Sisse logida polnud vaja.
Mida CartFlowsi turvaauk tähendab ja mida mitte
Võõras sai käivitada ükskõik millise lehele paigaldatud lühikoodi, ka teiste pluginate registreeritud lühikoode. Kui mõni neist näitab privaatset infot või vormi, mis ei peaks seal kättesaadav olema, on see probleem.
Aga see ei tähenda, et iga mõjutatud pood võimaldab suvalise PHP-koodi käivitamist või kogu lehe ülevõtmist. Mõju sõltub sellest, mida sinu lehe lühikoodid teevad. Turvateate CVSS-vektor hindab mõju konfidentsiaalsusele, terviklusele ja käideldavusele madalaks.
WPSeci teates polnud turvaaugu ärakasutamisest teatatud. See kirjeldab teadaolevat olukorda, mitte ei tõesta, et keegi pole proovinud.
Ostuvormi puhul eelistan vähem liikuvaid osi järjekordsele nutikale müügitunneli funktsioonile. Meie WooCommerce’i e-poe tegemise teenuse juurde käib ka läbimõtlemine, milliseid ostuvormi võimalusi poel vaja on. Iga kampaaniaeksperiment ei pea igaveseks tööle jääma.
FunnelKit Automations: teistsugune ja võimalik, et suurem risk
Teine turvateade puudutab pluginat FunnelKit Automations - Email Marketing Automation and CRM for WordPress & WooCommerce, tunnusega wp-marketing-automations. Sellel on üle 20 000 aktiivse paigalduse. CVE-2026-39738 mõjutab versioone kuni 3.8.6.1-ni, see kaasa arvatud. Parandatud versioon on 3.8.6.2.
Turvaauk võimaldab autentimata PHP-objektide süstimist ebausaldusväärsete andmete deserialiseerimise kaudu. Deserialiseerimist võib mõista kui struktureeritud andmete taastamist kujule, mida PHP kasutada oskab. Siin pääseb sellesse protsessi ebausaldusväärne sisend.
Võimalik kahju sõltub osaliselt sellest, milline muu kood samale lehele paigaldatud on. Wordfence’i sõnul pole pluginas endas teadaolevat POP-ahelat. See on olemasoleva koodi osadest koosnev ahel, mis võib muuta objektide süstimise kahjulikeks tegevusteks. Kui sobiva ahela pakub mõni teine plugin või teema, võib ründaja saada faile kustutada, tundlikke andmeid lugeda või koodi käivitada.
See tingimus muudab palju. Seda ei saa selgitusest lihtsalt välja jätta.
Patchstack ja Wordfence avaldasid info 30. oktoobril 2026. Patchstack annab CVSS-hindeks 9.8, Wordfence aga 8.1 ning nimetab leidjaks turvauurija Shon Bida. Sõltuvus muust paigaldatud koodist aitab erinevaid hindeid selgitada.
Ärakasutamisest on teatatud, massirünnakud pole kinnitatud
CIRCL Vulnerability-Lookup märgib, et ärakasutamisest on teatatud alates 2. novembrist 2026. Patchstack märgib samuti turvaaugu teadaolevalt ärakasutatuks. Täpne sõnastus on ärakasutamisest on teatatud. Siinse info põhjal ei saa väita, et kinnitatud oleksid massirünnakud.
CISA pole seda oma KEV-kataloogi lisanud ning viidatud infos ei kajastu avalikku ründekoodi. Kumbki asjaolu pole põhjus uuendamist edasi lükata.
Üks haavatavuste jälgimise allikas märgib, et versiooni 3.8.6.2 muudatuste loendis CVE-d ei mainita. Samas nimetavad nii Patchstack kui ka Wordfence seda parandatud väljalaskeks. Paigalda uusim saadaolev versioon, mitte lihtsalt 3.8.6.2.
Tee need sammud täna ja testi siis ostuvormi
- Ava
Plugins > Installed Plugins. Otsi CartFlowsi ja FunnelKit Automationsit. Ka CartFlows Pro kasutab tasuta CartFlowsi pluginat, nii et kontrolli selle versooni. - Tee värske varu koopia ja seejärel uuenda. Kasuta uusimaid saadaolevaid väljalaskeid. Minimaalsed parandatud versioonid on CartFlows 3.3.1 ja FunnelKit Automations 3.8.6.2.
- Ei saa praegu uuendada? Lülita plugin seniks välja. Eriti FunnelKit Automationsi puhul ära jäta mõjutatud versiooni aktiivseks, kuni mõni rahulikum nädal saabub.
- Eemalda unustatud pluginad. Kui müügitunneli plugin paigaldati ühe kampaania jaoks ja seda enam ei kasutata, lülita see välja ning kustuta.
- Tühjenda lehe vahemälu ja testi. Tee testtellimus müügitunneli ostuvormi kaudu, proovi kupongi, kontrolli tänulehe kuvamist ja tellimuse e-kirju.
Ära piirdu poe tavalise ostuvormi kontrollimisega, kui kliendid ostavad eraldi müügitunneli lehe kaudu. Testi just seda teekonda. Põhipood tuleb kergesti meelde, aga reklaamidest lingitud maandumisleht võib ununeda.
Kui selle rutiini eest keegi ei vastuta siis lepi kokku WordPressi hooldus, kus on selgelt paigas vastutus nii uuenduste kui ka ostuvormi testimise eest. Uuendatud pluginast on vähe rõõmu, kui ostja ei saa pärast tellimust lõpuni teha.
Kontrolli sissemurdmise märke, ära oleta
Kui sinu FunnelKit Automationsi paigaldus oli mõjutatud, otsi järgmisi märke:
- Administraatorikontod, mida sa ei tunne.
- Ootamatuid muudattusi pluginate või teemade failides.
- Uusi PHP-faile kaustas
wp-content/uploads.
Need on ohumärgid, mitte automaatne tõend just selle turvaaugu ärakasutamisest. Kui miski tundub vale, säilita logid ja lase asja uurida. Meie juhend kuidas aru saada, kas WordPress on häkitud selgitab, mida veel kontrollida.
Ostuvormi pluginad asuvad kohas, kuhu nii kliendid kui ka robotid pääsevad sisse logimata. Seepärast väärivad nende uuendused tähelepanu. Laiema pildi jaoks loe ka WordPressi e-poe turvamisest maksete vastuvõtul.
Alusta täna paigaldatud versioonidest. Seejärel tee üks tellimus läbi just selle ostuvormi, mida sinu kliendid kasutavad.