CVE-2026-2955
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPress do wersji 1.4.14 włącznie zawiera podatność na trwałe XSS poprzez nagłówek X-Forwarded-For. Nieuwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript, który wykona się przy każdym dostępie do zainfekowanej strony. Uwaga: praktyczne wykorzystanie jest ograniczone do 20 znaków.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który będzie wykonywany przy każdym wyświetleniu strony, co może prowadzić do kradzieży sesji lub danych użytkowników.
Rekomendacja
Należy zaktualizować wtyczkę AI Chatbot & Workflow Automation by AIWU do najnowszej dostępnej wersji, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
The AI Chatbot & Workflow Automation by AIWU plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'X-Forwarded-For' header in versions up to, and including, 1.4.14 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. NOTE: Practical exploitation is constrained due to a 20-character storage limit.