Falha em Funnel Builder Sob Exploração Ativa Permite Skimming de Checkout no WooCommerce

A Sansec revelou uma falha não autenticada (sem CVE) no plugin FunnelKit Funnel Builder para WordPress, antes da versão 3.15.0.3, que afeta mais de 40.000 lojas WooCommerce. Um endpoint de checkout exposto publicamente falhou em verificar permissões do chamador ou restringir métodos internos invocáveis, permitindo que atacantes inserissem JavaScript controlado em na configuração global de "External Scripts" do plugin. Isso injeta um falso carregador do Google Tag Manager em cada checkout, que abre um WebSocket para wss://protect-wss[.]com/ws para recuperar um skimmer de cartão personalizado, exfiltrando PANs, CVVs e endereços de cobrança.