漏洞速览
- 漏洞编号：
CVE-2026-109991 - 风险评分：
7.5（高危） - 首次披露：2026-11-06
- 最近更新：2026-11-06
- 软件类型：插件
- 软件标识：
funnelkit-stripe-woo-payment-gateway - 受影响版本：<= 1.15.0.2
- 修复版本：1.16.0
- 是否已修复：是
漏洞详情
WordPress 的 FunnelKit Payment Gateway for Stripe WooCommerce 插件存在不安全的直接对象引用（IDOR）漏洞，所有 1.15.0.2 及更早版本均受影响。 问题出在 order-pay 参数（即 /checkout/order-pay/<ID>/ 路径中的 WP 查询变量）对用户可控的键值缺少校验，攻击者可由此读取任意商店订单的完整账单个人身份信息（PII），包括姓名、电子邮箱、电话号码和完整街道地址。
其原理是：通过逐一枚举连续的订单 ID 即可获取数据，因为这些信息会在每个匹配页面的响应中，通过 wp_localize_script 输出到内联的 fkwcs_data JavaScript 对象中。 即便 WooCommerce 自身因订单密钥校验不通过而拒绝该 order-pay 页面请求，漏洞依然可被利用，因为插件的 wp_localize_script 调用与 WooCommerce 在同一次请求中的订单密钥校验相互独立、互不影响。
影响与风险
- 漏洞类型：Insecure Direct Object Reference to Unauthenticated Sensitive Information Exposure via 'order-pay' URL Path Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Kuba
修复建议
- 按官方建议执行修复：更新至 1.16.0 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
