Auf den Punkt: Angreifer nutzen eine unauthentisierte Schwachstelle im Funnel-Builder-Plugin aus, um bösartige JavaScript-Skimmer auf Checkout-Seiten einzuschleusen und Kreditkartendaten abzugreifen.
Das WordPress-Plugin Funnel Builder wird derzeit aktiv angegriffen, um Malware in WooCommerce-Checkouts einzuschleusen und Zahlungsdaten zu stehlen. Betroffen sind Versionen vor 3.15.0.3, die auf über 40.000 Shops laufen.
Sicherheitsforscher der niederländischen Firma Sansec haben in dieser Woche eine laufende Exploitation-Kampagne gegen das WordPress-Plugin Funnel Builder dokumentiert. Die Schwachstelle ermöglicht unauthentizierten Angreifern, beliebigen JavaScript-Code über die „External Scripts”-Konfiguration des Plugins auf jede Checkout-Seite eines betroffenen Shops einzuschleusen.
Die Angreifer tarnen ihre Code-Injektionen als legitime Google-Tag-Manager-Skripte. Im Hintergrund laden diese Skimmer heimlich Zahlungsdaten ab, insbesondere Kreditkartennummern, CVV-Codes und Rechnungsadressen während des Checkouts. Laut Sansec-Analyse exponiert Funnel Builder einen Checkout-Endpoint, der eingehende Anfragen zulässt, um beliebige interne Methoden auszuführen.
Das Plugin wird von über 40.000 WooCommerce-Shops genutzt. FunnelKit, das Unternehmen hinter Funnel Builder, hat mit Version 3.15.0.3 einen Patch veröffentlicht. Eine offizielle CVE-Kennung wurde der Lücke bislang nicht zugewiesen. Betroffen sind alle Versionen vor 3.15.0.3. Shop-Betreiber sollten ihre Installation sofort aktualisieren und verdächtige externe Skript-Einträge in den Plugin-Konfigurationen prüfen.
Quelle: ainews-dev.lumi-systems.io · Erschienen 16. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.5.2.