Плагин FunnelKit Stripe ниже 1.16.0 — обновите: чужие могли читать данные покупателей

Коротко. В плагине FunnelKit Payment Gateway for Stripe WooCommerce (это плагин магазина для приёма Stripe, а не «поломка сервиса Stripe» и не кража номеров карт) закрыта ошибка, из‑за которой посторонний без входа на сайт мог читать данные покупателя из заказов: имя, email, телефон и полный адрес. Пример: 1.15.0.2 — уязвима, 1.16.0 — уже исправлена. Уязвимы версии до 1.15.0.2 включительно. Надёжный ориентир «уже закрыто» — 1.16.0 или новее. Подтверждённых атак нет.

Касается ли это вас.

• Да, если в магазине стоит FunnelKit Stripe и версия ниже 1.16.0 (в том числе 1.15.0.2).
• Скорее нет, если плагина нет или уже стоит 1.16.0+.
• Не знаете — в админке откройте «Плагины», найдите FunnelKit / Stripe и посмотрите номер; либо перешлите статью тому, кто ведёт магазин.

Чем грозит. Утечка контактных и адресных данных покупателей. Это не «захват всего сервера одним кликом» и не доступ к полным номерам карт через этот CVE, но для магазина с заказами — серьёзный риск по персональным данным.

Что сделать в первую очередь.

1. Сделайте копию сайта в панели хостинга или попросите того, кто ведёт сайт.
2. Войдите в админку WordPress → «Плагины» (или «Обновления»). Если обновления в админке WordPress нет — через панель хостинга (WordPress Toolkit / «Приложения») или тому, кто ведёт сайт.
3. Найдите FunnelKit Payment Gateway for Stripe WooCommerce. Если номер ниже 1.16.0 — обновите до 1.16.0 или новее с wordpress.org / кнопкой обновления. Чужие zip с форумов не ставьте. Если номер «как будто тот же» — обновите страницу плагинов или спросите у хостинга про кэш админки.
4. После обновления проверьте оплату в тестовом режиме Stripe или сделайте мелкий контрольный заказ этим способом оплаты.

Получилось, если в списке плагинов видна версия не ниже 1.16.0. Не получается — см. ниже.

Что сделать во вторую очередь.

1. Включите автообновление этого плагина, если доверяете стабильности релизов FunnelKit на вашем магазине (по умолчанию автообновление плагинов в WordPress выключено).
2. Если магазин долго был на версии ниже 1.16.0 и есть признаки, что чужие узнавали контакты клиентов без вашего участия — не ограничивайтесь обновлением: проверьте список администраторов и логи; при подтверждённой утечке персональных данных решите с юристом/тимлидом, нужно ли уведомление.
3. Убедитесь, что на рабочем сайте нет старой копии этого плагина вне обычного списка «Плагины».

Если сразу не получается.

• Нет прав админа — перешлите готовый текст ниже тому, кто ведёт сайт.
• Боитесь сломать оплату — сначала тестовая копия сайта, потом обновление.
• Пока обновить нельзя — временно отключите FunnelKit Stripe, если есть другой рабочий способ оплаты; временная мера сработала, если плагин в «Плагины» неактивен или версия уже ≥ 1.16.0.
• «Патчи» и сборки с форумов не ставьте.

Готовый текст для того, кто ведёт сайт.

Здравствуйте! Нужно обновить плагин WooCommerce «FunnelKit Payment Gateway for Stripe WooCommerce» (slug funnelkit-stripe-woo-payment-gateway) до версии 1.16.0 или новее с wordpress.org. Причина: CVE-2026-109991 — без входа на сайт можно было читать имя, email, телефон и адрес покупателя из заказов; уязвимы версии до 1.15.0.2 включительно. Подтверждённых атак нет. Пока обновить нельзя — временно деактивируйте плагин, если есть запасной шлюз оплаты. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-07-funnelkit-stripe/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-07-funnelkit-stripe/

Источник. FunnelKit Payment Gateway for Stripe WooCommerce — wordpress.org (актуальная 1.16.0; в changelog — hardening страниц order pay). Номер CVE-2026-109991 и оценка CNA Wordfence — текстом, без ссылок на агрегаторы.