Funnel Builder WordPress plugin bug exploited to steal credit cards
Mis à jour :
Exploitation critique du plugin Funnel Builder pour le vol de données bancaires
Une vulnérabilité critique affectant le plugin WordPress « Funnel Builder » par FunnelKit est actuellement exploitée pour injecter des scripts malveillants sur les pages de paiement WooCommerce. Cette faille permet à des attaquants non authentifiés de détourner les informations de paiement des clients.
Points clés :
- Impact : Plus de 40 000 sites utilisant le plugin sont potentiellement exposés.
- Mode opératoire : Les attaquants modifient les paramètres globaux via un point de terminaison non sécurisé pour injecter du code JavaScript.
- Conséquences : Un “skimmer” (logiciel de capture de données) vole les numéros de cartes bancaires, les codes CVV, les adresses de facturation et les données personnelles des clients.
- Infrastructure malveillante : Le script injecté se fait passer pour Google Tag Manager et transmet les données volées via une connexion WebSocket vers un serveur externe.
Vulnérabilité :
- CVE : Non assignée.
- Versions affectées : Toutes les versions antérieures à la 3.15.0.3.
Recommandations :
- Mise à jour immédiate : Passer impérativement à la version 3.15.0.3 ou supérieure via le tableau de bord WordPress.
- Audit de configuration : Vérifier les paramètres du plugin (Settings > Checkout > External Scripts) pour détecter et supprimer tout script malveillant qui aurait pu être ajouté par un attaquant avant la mise à jour.