CVE-2026-39738: WordPress FunnelKit Automations plugin <= 3.8.6.1 - PHP Object Injection vulnerability

Severity: critical (CVSS 9.8 v3.1)
Exploited in the wild: not listed in CISA KEV
Public exploit or detection template: none known
Published: 2026-10-30 · updated 2026-10-30
Weakness: CWE-502

Description

Unauthenticated PHP Object Injection in FunnelKit Automations <= 3.8.6.1 versions.

Summary

FunnelKit Automations for WordPress and WooCommerce (versions up to and including 3.8.6.1) contains an unauthenticated PHP Object Injection vulnerability rated CVSS 9.8 critical. Because no authentication is required, remote attackers could exploit it to manipulate PHP objects, potentially leading to code execution or full site compromise. It is not listed in CISA KEV, so no confirmed in-the-wild exploitation is known. Update the plugin to 3.8.6.2 or later immediately.

تحتوي إضافة FunnelKit Automations لـ WordPress وWooCommerce (الإصدارات حتى 3.8.6.1 ضمناً) على ثغرة حقن كائنات PHP (PHP Object Injection) دون الحاجة إلى مصادقة، بتقييم خطورة CVSS يبلغ 9.8 (حرجة). ولأن الثغرة لا تتطلب مصادقة، فقد يتمكن المهاجمون عن بُعد من استغلالها للتلاعب بكائنات PHP، مما قد يؤدي إلى تنفيذ تعليمات برمجية أو اختراق الموقع بالكامل. الثغرة غير مدرجة في CISA KEV، ولا يُعرف حتى الآن استغلال فعلي لها في البرية. يجب تحديث الإضافة إلى الإصدار 3.8.6.2 أو أحدث فوراً.

Affected products

amans2k FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce: through 3.8.6.1 — fixed in 3.8.6.2

How to fix

Upgrade to a fixed version: amans2k FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce 3.8.6.2. Check the vendor advisory for mitigations.

References

https://patchstack.com/database/wordpress/plugin/wp-marketing-automations/vulnerability/wordpress-funnelkit-automations-plugin-3-8-6-1-php-object-injection-vulnerability?_s_id=cve

Get alerted when CVE-2026-39738 or the next vulnerability affects your stack