Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
W ekosystemie WordPress i WooCommerce ujawniono krytyczną podatność we wtyczce Funnel Builder, wykorzystywanej do budowy ścieżek zakupowych i optymalizacji procesu finalizacji zamówienia. Luka umożliwia wstrzyknięcie złośliwego kodu JavaScript do stron checkout, co w praktyce otwiera drogę do przechwytywania danych kart płatniczych oraz informacji rozliczeniowych wpisywanych przez klientów sklepów internetowych.
To szczególnie groźny scenariusz dla branży e-commerce, ponieważ atak nie musi prowadzić do pełnej kompromitacji serwera. Wystarczy trwała modyfikacja konfiguracji aplikacji, aby złośliwy kod był automatycznie wykonywany w przeglądarce użytkownika dokładnie w momencie realizacji płatności.
W skrócie
- Podatność dotyczy wersji Funnel Builder starszych niż 3.15.0.3.
- Luka była aktywnie wykorzystywana w atakach.
- Napastnik mógł bez uwierzytelnienia zapisać własny kod w ustawieniach globalnych wtyczki.
- Złośliwy JavaScript był następnie osadzany na stronach checkout.
- Celem ataku był skimming danych płatniczych klientów sklepów WooCommerce.
- Producent opublikował poprawkę w wersji 3.15.0.3.
Kontekst / historia
Ataki typu Magecart od lat koncentrują się na platformach e-commerce, ponieważ kompromitacja procesu płatności daje przestępcom bezpośredni dostęp do najbardziej wartościowych danych. Zamiast infekować urządzenia końcowe klientów, napastnicy coraz częściej modyfikują kod wykonywany po stronie przeglądarki na stronach sklepu.
W tym przypadku celem stała się popularna wtyczka używana w środowiskach WooCommerce do zarządzania lejkami sprzedażowymi i optymalizacji ścieżki zakupowej. Skala potencjalnego ryzyka była istotna, ponieważ komponent był wykorzystywany w wielu sklepach internetowych, a atakujący ukrywali złośliwe skrypty pod nazwami przypominającymi legalne narzędzia analityczne i marketingowe.
Analiza techniczna
Źródłem problemu był publicznie dostępny endpoint checkout, który pozwalał żądaniu wejściowemu wskazać wewnętrzną metodę do uruchomienia. W podatnych wersjach brakowało odpowiedniej walidacji uprawnień wywołującego oraz skutecznego ograniczenia zestawu metod, które mogły zostać wykonane. Taka konstrukcja umożliwiała nadużycie logiki aplikacyjnej bez konieczności logowania.
Scenariusz ataku polegał na wysłaniu nieuwierzytelnionego żądania prowadzącego do funkcji zapisującej dane bezpośrednio w ustawieniach globalnych wtyczki. W ten sposób napastnik mógł umieścić własny kod w sekcji odpowiedzialnej za ładowanie zewnętrznych skryptów podczas procesu zakupowego. Po zapisaniu konfiguracji złośliwy znacznik skryptu był automatycznie osadzany na stronach checkout korzystających z Funnel Builder.
Zaobserwowany łańcuch ataku obejmował podszywanie się pod legalne komponenty analityczne, między innymi elementy przypominające loader Google Tag Managera. W rzeczywistości taki wpis uruchamiał zewnętrzny kod JavaScript, który komunikował się z infrastrukturą kontrolowaną przez atakującego i pobierał skimmer dopasowany do konkretnego sklepu. Taki model utrudnia analizę incydentu, wykrywanie sygnaturowe oraz ręczny przegląd konfiguracji.
Technicznie jest to połączenie błędu autoryzacji, trwałej modyfikacji konfiguracji oraz ataku po stronie klienta. To wyjątkowo niebezpieczna kombinacja w środowisku e-commerce, ponieważ atakujący uzyskuje dostęp do formularza płatności bez potrzeby pełnego przejęcia infrastruktury systemowej.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem jest kradzież danych płatniczych klientów w czasie rzeczywistym. Dotyczy to numerów kart, kodów CVV, adresów rozliczeniowych oraz innych informacji wprowadzanych w formularzu checkout. Dla operatora sklepu oznacza to nie tylko incydent techniczny, ale również poważne ryzyko biznesowe i prawne.
Potencjalne konsekwencje obejmują naruszenie poufności danych, koszty obsługi incydentu, roszczenia klientów, straty reputacyjne oraz obowiązki wynikające z regulacji i umów z operatorami płatności. Kompromitacja checkoutu może też wymusić czasowe wstrzymanie sprzedaży, pełny przegląd stosu aplikacyjnego i wdrożenie dodatkowych mechanizmów monitorowania.
Szczególnie niebezpieczne jest to, że złośliwy kod może wyglądać jak zwykła integracja marketingowa. W efekcie standardowy przegląd tagów lub ustawień analitycznych może nie wystarczyć do szybkiego wykrycia naruszenia.
Rekomendacje
Administratorzy sklepów WooCommerce powinni niezwłocznie zaktualizować Funnel Builder do wersji 3.15.0.3 lub nowszej. Sama aktualizacja nie powinna jednak kończyć działań, ponieważ podatny sklep mógł zostać już wcześniej zmodyfikowany przez napastnika.
Należy przeprowadzić szczegółową kontrolę ustawień odpowiedzialnych za zewnętrzne skrypty w obszarze checkout i usunąć wszystkie nieautoryzowane wpisy. Warto również zweryfikować historię zmian, konta administracyjne, integralność plików wtyczek i motywów oraz obecność nietypowych połączeń do zewnętrznych domen i kanałów komunikacyjnych.
- wdrożenie monitoringu integralności plików i konfiguracji,
- ograniczenie liczby aktywnych wtyczek do minimum,
- regularny audyt kodu JavaScript ładowanego na stronach płatności,
- stosowanie możliwie restrykcyjnej polityki Content Security Policy,
- segmentacja uprawnień administracyjnych i wymuszenie MFA,
- skanowanie sklepu pod kątem skimmerów i podejrzanych znaczników skryptów,
- przygotowanie procedury powiadamiania klientów i partnerów płatniczych na wypadek potwierdzonego wycieku.
Jeżeli istnieje podejrzenie kompromitacji, incydent należy traktować jak możliwe naruszenie danych kartowych i uruchomić formalną ścieżkę reagowania zgodną z wymaganiami partnerów płatniczych oraz obowiązującymi regulacjami.
Podsumowanie
Luka we wtyczce Funnel Builder pokazuje, jak groźne są błędy autoryzacji w komponentach obsługujących proces zakupowy. Możliwość nieuwierzytelnionego zapisania złośliwego JavaScript do konfiguracji checkoutu tworzy bezpośrednią ścieżkę do skimmingu płatności i kradzieży danych klientów.
W środowiskach WooCommerce priorytetem powinno być natychmiastowe wdrożenie aktualizacji, pełna weryfikacja ustawień zewnętrznych skryptów oraz rozszerzone działania huntingowe pod kątem ukrytych elementów Magecart. To zagrożenie, które należy traktować nie jako zwykły błąd wtyczki, lecz jako realne ryzyko dla ciągłości sprzedaży i bezpieczeństwa danych płatniczych.
Źródła
- https://thehackernews.com/2026/05/funnel-builder-flaw-under-active.html
- https://wordpress.org/plugins/funnel-builder/
- https://woocommerce.com/documentation/
- https://cheatsheetseries.owasp.org/cheatsheets/Content_Security_Policy_Cheat_Sheet.html
- https://owasp.org/www-project-web-security-testing-guide/