Страница оформления заказа WooCommerce открыта всем. Так и задумано. Но это значит, что для атаки через уязвимость на этой странице не всегда нужен украденный пароль. Два недавних уведомления касаются CartFlows и FunnelKit Automations. Риски у них разные, да и сведения об использовании уязвимостей тоже.
Пора действовать, если у вас CartFlows 3.3.0 или старше либо FunnelKit Automations 3.8.6.1 или старше. Обновите оба плагина до последних доступных версий. Исправления вышли в CartFlows 3.3.1 и FunnelKit Automations 3.8.6.2.
Меня зовут Андрей, я руковожу агентством по обслуживанию и защите WordPress. Совет тут простой: сегодня проверьте установленные плагины. Даже если не помните что ставили что-то с такими названиями.
CartFlows: посторонний может запускать установленные шорткоды
3 ноября 2026 года WPSec опубликовал уведомление WPSEC-2026-2256 о CartFlows - Funnel Builder & Checkout Plugin for WooCommerce. Идентификатор плагина - cartflows. Уязвимость затрагивает все версии до 3.3.0 включительно. Исправление входит в версию 3.3.1, выпущенную 2 ноября.
Проблема - выполнение произвольных шорткодов без авторизации, категория CWE-94. Звучит громоздко. Если проще, человек без учетной записи мог заставить сайт обработать переданный им шорткод.
Шорткоды - это команды в квадратных скобках, например [example_form]. Плагин регистрирует такую команду, а WordPress подставляет вместо нее то, что выдает этот плагин: форму, сведения об учетной записи или другой контент.
CartFlows вставлял данные, которыми мог управлять покупатель, в разметку своих шорткодов оформления заказа, подписки и сведений о заказе. При этом квадратные скобки шорткодов не обезвреживались. Сюда попадали поля заказа, заранее заполненные через параметры URL, причем принимались любые имена параметров. А еще - уведомления WooCommerce, например сообщение о неизвестном купоне, и сведения о заказе.
Подвох был в повторной обработке. Когда блоки CartFlows или виджеты конструктора страниц выводили эти шорткоды, результат еще раз проходил обработку шорткодов. И текст посетителя мог превратиться в команду.
Передать такой текст можно было через специально составленную ссылку или код купона. Входить на сайт не требовалось.
Что означает уязвимость CartFlows, а что - нет
Посторонний мог запустить любой установленный на сайте шорткод, в том числе из другого плагина. Если такой шорткод раскрывает закрытую информацию или выводит форму, которой там быть не должно, проблема вполне ощутимая.
Но это не значит, что любой уязвимый магазин допускает выполнение произвольного PHP-кода или полный захват сайта. Последствия зависят от того, что именно делают ваши шорткоды. Вектор CVSS в уведомлении оценивает влияние на конфиденциальность, целостность и доступность как низкое.
В своем уведомлении WPSec не сообщил об использовании уязвимости в атаках. Это заявленная позиция, а не доказательство того, что никто не пробовал ее использовать.
В оформлении заказа я предпочитаю меньше лишних элементов, а не очередную хитрую функцию воронки. Когда мы беремся за разработку интернет-магазина WooCommerce, то разбираемся, какие функции оформления заказа магазину вообще нужны. Оставлять навсегда каждый эксперимент из рекламной кампании - сомнительная идея.
FunnelKit Automations: другой риск, потенциально серьезнее
Это уведомление касается FunnelKit Automations - Email Marketing Automation and CRM for WordPress & WooCommerce, идентификатор wp-marketing-automations. У плагина более 20 000 активных установок. Уязвимость CVE-2026-39738 затрагивает версии до 3.8.6.1 включительно. Исправленная версия - 3.8.6.2.
Проблема - внедрение PHP-объектов без авторизации через десериализацию недоверенных данных. Десериализация - это восстановление структурированных данных в форму, с которой PHP может работать. Здесь в этот процесс могут попасть данные из ненадежного источника.
Возможный ущерб отчасти зависит от другого кода на сайте. По данным Wordfence, в самом плагине нет известной POP-цепочки. Это последовательность уже существующего кода, которая может превратить внедрение объекта во вредоносные действия. Если такую цепочку предоставляет другой плагин или тема, атакующий может удалять файлы, читать конфиденциальные данные или выполнять код.
Важное условие. Его нельзя просто выкинуть из объяснения.
Patchstack и Wordfence опубликовали сведения об уязвимости 30 октября 2026 года. Patchstack присвоил ей оценку CVSS 9.8, а Wordfence - 8.1, указав исследователя Shon Bida. Зависимость от другого кода помогает объяснить разницу в оценках.
Об использовании сообщают, но массовые атаки не подтверждены
В CIRCL Vulnerability-Lookup использование уязвимости в атаках отмечено как заявленное с 2 ноября 2026 года. Patchstack тоже помечает ее как известную используемую уязвимость. Аккуратная формулировка - есть сообщения об использовании в атаках. Оснований говорить о подтвержденных массовых атаках здесь нет.
CISA не добавила ее в каталог KEV, а в приведенных сведениях не отмечен публичный код эксплойта. Ни то ни другое - не повод откладывать обновление.
Один из трекеров отмечает, что в списке изменений версии 3.8.6.2 нет упоминания CVE. Однако и Patchstack, и Wordfence называют эту версию исправленной. Устанавливайте последний доступный релиз, а не просто 3.8.6.2.
Сделайте это сегодня, потом проверьте оформление заказа
- Откройте
Plugins > Installed Plugins. Найдите CartFlows и FunnelKit Automations. CartFlows Pro тоже использует бесплатный плагин CartFlows, так что проверьте и его версию. - Сделайте свежий бэкап, затем обновите плагины. Берите последние доступные релизы. Минимальные версии с исправлениями - CartFlows 3.3.1 и FunnelKit Automations 3.8.6.2.
- Не можете обновить сейчас? Пока отключите. Особенно это касается FunnelKit Automations. Не оставляйте уязвимую версию активной в ожидании недели поспокойнее.
- Удалите забытые плагины. Если плагин воронки поставили ради одной кампании и больше не используете, отключите его и удалите.
- Очистите кеш страниц и все проверьте. Оформите тестовый заказ через воронку, попробуйте купон, проверьте отображение страницы благодарности и письма о заказе.
Не ограничивайтесь обычной страницей оформления заказа, если покупатели идут через отдельную страницу воронки. Пройдите именно их маршрут. Легко вспомнить про основной магазин и упустить посадочную страницу, на которую ведет реклама.
Если за эту рутину никто не отвечает, договоритесь об обслуживании WordPress от 39€ в месяц с четкой ответственностью за обновления и проверку оформления заказа. Мало радости от обновленного плагина, если после апдейта покупатель не может завершить покупку.
Проверьте следы взлома, а не гадайте
Если у вас стояла уязвимая версия FunnelKit Automations, проверьте:
- Нет ли незнакомых учетных записей администраторов.
- Не появились ли неожиданные изменения в файлах плагинов или темы.
- Нет ли новых PHP-файлов внутри
wp-content/uploads.
Это тревожные признаки, но не автоматическое доказательство атаки именно через эту уязвимость. Если что-то выглядит подозрительно, сохраните логи и передайте сайт на проверку. В статье как проверить WordPress на взлом за 15 минут разбираем, куда еще заглянуть.
Плагины оформления заказа работают там, куда покупатели и боты попадают без входа в аккаунт. Вот почему их обновления заслуживают внимания. О более широкой защите читайте в статье «Платежи в WordPress: как защитить магазин».
Сегодня начните с проверки установленных версий. Потом проведите один заказ через ту страницу оформления, которой действительно пользуются ваши покупатели.