CVE-2025-14901
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Wtyczka Bit Form – Contact Form Plugin dla WordPressa jest podatna na nieautoryzowane wykonanie workflow z powodu braku autoryzacji w funkcji triggerWorkFlow we wszystkich wersjach do 2.21.6 włącznie. Wynika to z błędu logicznego w weryfikacji nonce, gdzie kontrola bezpieczeństwa blokuje żądania tylko wtedy, gdy weryfikacja nonce nie powiedzie się i użytkownik jest zalogowany. Umożliwia to nieuwierzytelnionym atakującym ponowne wykonanie workflow formularza i wywołanie wszystkich skonfigurowanych integracji (webhooki, powiadomienia e-mail, integracje CRM, platformy automatyzacji) poprzez akcję AJAX bitforms_trigger_workflow, jeśli tylko zdobędą identyfikator wpisu i identyfikatory logów z odpowiedzi na legalne zgłoszenie formularza.
Ocena ryzyka
Nieuwierzytelniony atakujący może wywołać nieautoryzowane akcje, takie jak wysyłanie e-maili, wywoływanie webhooków czy integracji CRM, co może prowadzić do spamu, wycieku danych lub innych nadużyć. Może to również naruszyć integralność systemów zewnętrznych.
Rekomendacja
Zaktualizuj wtyczkę Bit Form do wersji nowszej niż 2.21.6, która zawiera poprawkę. Do czasu aktualizacji rozważ wyłączenie akcji bitforms_trigger_workflow lub ograniczenie jej dostępności.
Powiązane podatności
- CVE-2026-15340Krytyczne
Klient SMTP w bibliotece lwIP nie sprawdza rozmiaru danych wejściowych, co może prowadzić do przepełnienia bufora.
- CVE-2026-108109Krytyczne
PHPNuxBill do wersji 2025.3.20 zawiera podatność przejęcia konta w procesie resetowania hasła klienta w pliku system/controllers/forgot.php. Nieuwierzytelniony atakujący może brute-force'ować 6-cyfrowy kod OTP bez limitów prób i blokady, a następnie odczytać nowo ustawione hasło z odpowiedzi HTTP.
- CVE-2026-108107Krytyczne
PHPNuxBill do wersji 2025.3.20 zawiera nieuwierzytelnioną podatność SQL injection w endpoincie REST FreeRADIUS w pliku radius.php, który wstawia parametry żądania do zapytań whereRaw(). Atakujący może wysyłać spreparowane parametry username, macAddr lub nasid do akcji accounting lub authenticate, aby wyodrębnić rekordy klientów i poświadczenia za pomocą czasowej ślepej SQL injection.
- CVE-2026-107806Krytyczne
Nginx UI to interfejs webowy dla serwera Nginx. Od wersji 2.3.8 do 2.5.0 uwierzytelniony administrator z aktywną sesją może przesłać kontrolowany przez atakującego materiał klucza kopii zapasowej i pasujący manifest do POST /api/restore. Proces przywracania ufa dostarczonemu kluczowi, odszyfrowuje kontrolowaną treść i zastępuje plik app.ini, w tym chronione ustawienia poleceń nginx, takie jak TestConfigCmd. Wywołanie POST /api/nginx/test wykonuje przywrócone polecenie w kontekście środowiska Nginx UI.
- CVE-2026-105278Krytyczne
Opublikowany obraz Docker dla openPDC zawiera stałe poświadczenia administracyjne, które nie są wymuszane do zmiany przy pierwszym użyciu. Atakujący z dostępem sieciowym do interfejsu zarządzania może uwierzytelnić się tymi poświadczeniami i uzyskać pełną kontrolę administracyjną nad aplikacją.
- CVE-2026-100730Krytyczne
Interfejs konsoli usługi w openPDC i openHistorian deserializuje strukturę danych dostarczoną przez klienta. W systemach z uwierzytelnianiem Windows atakujący musi być uwierzytelniony, aby uzyskać dostęp do tej funkcji; w systemach bez uwierzytelniania Windows jest ona dostępna dla nieuwierzytelnionego atakującego sieciowego. Może to pozwolić na zdalne wykonanie kodu z uprawnieniami konta usługi.
- CVE-2026-86405Krytyczne
Moduł PrestaShop Virtual POS firmy Sipay Electronic Money and Payment Services Inc. zawiera podatność nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala na podszywanie się pod podpis poprzez niewłaściwą walidację. Problem dotyczy wersji od 26.8.1 do 26.9.1.
- CVE-2026-85531Krytyczne
Moduł OpenCart Virtual POS firmy Sipay Electronic Money and Payment Services Inc. zawiera podatność nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala na podszywanie się pod podpis poprzez niewłaściwą walidację. Problem dotyczy wersji od 26.8.2 do 26.9.1.
- CVE-2026-96809Krytyczne
Wtyczka EduAdmin Booking (eduadmin-booking) firmy MultiNet Interactive AB zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do przed 6.0.0.
- CVE-2026-96331Krytyczne
Wtyczka Ajax Search Pro (ajax-search-pro) firmy wpdreams zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do 4.29.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Bit Form – Contact Form Plugin plugin for WordPress is vulnerable to unauthorized workflow execution due to missing authorization in the triggerWorkFlow function in all versions up to, and including, 2.21.6. This is due to a logic flaw in the nonce verification where the security check only blocks requests when both the nonce verification fails and the user is logged in. This makes it possible for unauthenticated attackers to replay form workflow executions and trigger all configured integrations including webhooks, email notifications, CRM integrations, and automation platforms via the bitforms_trigger_workflow AJAX action granted they can obtain the entry ID and log IDs from a legitimate form submission response.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS