Die Sicherheitslücke im Funnel Builder Plugin betrifft alle Versionen vor 3.15.0.3 und ist besonders kritisch, da sie keine Authentifizierung erfordert. Angreifer können über einen ungeschützten, öffentlich zugänglichen Checkout-Endpunkt auf die globalen Einstellungen des Plugins zugreifen und beliebigen JavaScript-Code in die “External Scripts”-Einstellung injizieren. Dies führt dazu, dass der Malware-Code auf jeder Checkout-Seite ausgeführt wird.
Der injizierte Payload (analytics-reports[.]com/wss/jquery-lib.js) ist besonders tückisch: Er versteckt sich als legitimes Google Tag Manager- oder Google Analytics-Skript und öffnet eine WebSocket-Verbindung zu einem Angreifer-kontrollierten Server (wss://protect-wss[.]com/ws). Von dort aus wird ein spezialisierter Payment-Card-Skimmer heruntergeladen, der Zahlungsdaten der Kunden beim Checkout erfasst und abfängt.
FunnelKit hat das Problem inzwischen in Version 3.15.0.3 behoben, welche am vergangenen Tag veröffentlicht wurde. Das Unternehmen bestätigte in einer Sicherheitsmitteilung, dass “eine Schwachstelle identifiziert wurde, die es böswilligen Akteuren ermöglichte, Skripte einzuschleusen”.
Website-Betreiber und Administratoren werden dringend aufgefordert, ihre Installationen sofort über das WordPress-Dashboard zu aktualisieren. Darüber hinaus ist eine sofortige Überprüfung erforderlich: Unter Einstellungen > Checkout > External Scripts sollten potenzielle bösartige Skripte aufgespürt und entfernt werden, die Angreifer möglicherweise bereits hinzugefügt haben.
Für deutsche E-Commerce-Unternehmen ist dies ein kritischer Weckruf. Kompromittierte Kundendaten bedeuten nicht nur reputationalen Schaden und Vertrauensverlust, sondern auch erhebliche rechtliche Konsequenzen. Nach der DSGVO besteht eine Meldepflicht gegenüber Aufsichtsbehörden wie dem Bundesdatenschutzbeauftragten (BfDI), wenn personenbezogene Daten betroffen sind. Die möglichen Bußgelder bis zu 4 Prozent des Jahresumsatzes können für mittlere und große Unternehmen erhebliche finanzielle Belastungen bedeuten.
Sicherheitsexperten warnen zudem, dass solche Plugin-Schwachstellen verstärkt Teil von Supply-Chain-Attacken sind, bei denen beliebte Software als Angriffsvektoren missbraucht wird. Das BSI empfiehlt, regelmäßige Sicherheitsupdates prioritär einzuspielen und Plugins kontinuierlich zu überwachen.