CVE-2026-15006
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Wtyczka Bit integrations dla WordPressa do wersji 2.9.0 zawiera podatność na Directory Traversal w funkcji processAttachment. Niezautoryzowani atakujący mogą odczytać dowolne pliki na serwerze, w tym zawierające wrażliwe informacje.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików konfiguracyjnych, haseł lub innych poufnych danych przechowywanych na serwerze.
Rekomendacja
Należy zaktualizować wtyczkę Bit integrations do wersji 2.9.1 lub nowszej, jeśli dostępna. W międzyczasie ograniczyć dostęp do wtyczki tylko zaufanym użytkownikom.
Inne podatności w Bit integrations
Zobacz wszystkie- CVE-2026-104749Wysokie
Wtyczka Bit integrations dla WordPressa jest podatna na eskalację uprawnień przez ponowne wykonanie logów we wszystkich wersjach do 2.10.6 włącznie. Nieuwierzytelnieni atakujący mogą nadpisać hasło administratora i przejąć konto administratora.
- CVE-2026-102007Wysokie
Wtyczka Bit Integrations – Form Integration, Webhook, Spreadsheets, CRM, LMS & Email Automation dla WordPressa w wersjach do 2.10.6 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr pola mapowanego na notification_content (klucz wybierany przez atakującego, np. payload_text). Wynika to z niewystarczającej sanityzacji danych wejściowych i kodowania wyjścia. Wykorzystanie wymaga wcześniejszej konfiguracji przez administratora przepływu wiążącego publiczny webhook Bit Assist z akcją BuddyBoss "Send Notification" oraz znajomości UUID URL callbacku.
Oryginalny opis (angielski, źródło NVD)
The Bit integrations – Form Integration, Webhook, Spreadsheets, CRM, LMS & Email Automation plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 2.9.0 via the processAttachment function. This makes it possible for unauthenticated attackers to read the contents of arbitrary files on the server, which can contain sensitive information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS