Injection SQL dans FunnelKit Automations - developpeur-full-stack.fr

Veille sécuritéCMS & e-commerce

P3Élevée

FunnelKit Automations est vulnérable à une injection SQL temporelle via « bwfan_cart_id » dans les versions jusqu’à 3.8.5.2 incluses. Un attaquant non authentifié peut soumettre une valeur lors d’un paiement invité; l’injection est déclenchée ultérieurement par un travail Action Scheduler lors d’un changement d’état de commande indiqué dans l’avis.

IdentifiantCVE-2026-119163

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119163

Analyse technique

Échappement insuffisant du paramètre utilisateur et préparation insuffisante de la requête SQL existante; l’exploitation nécessite un nonce WooCommerce de panier accessible publiquement et une exécution différée liée à la commande.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-31T07:16:36.600Z, dans la période retenue; la mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue.

ImpactUn attaquant non authentifié peut ajouter des requêtes SQL et tenter d’extraire des informations sensibles de la base de données.

Versions affectéesToutes les versions jusqu’à 3.8.5.2 incluses

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,30% · percentile 23,2%

Publication2026-10-31T07:16:36.600Z

Action recommandée

Mettre à jour vers une version corrigée confirmée ; examiner les commandes invitées et tâches planifiées anormales, ainsi que les journaux de base de données.

Sources

NVD — CVE-2026-119163

Priorisation DFS : P3 · 1 source(s).