CVE-2025-15669
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Bit Form do WordPressa przed wersją 3.1.4 nie oczyszcza jednego z ustawień wyświetlania formularza konwersacyjnego przed renderowaniem go na publicznym formularzu, co pozwala użytkownikom z wysokimi uprawnieniami (takim jak administratorzy, którzy nie mają uprawnienia unfiltered_html w multisite) na przechowywanie JavaScriptu wykonywanego w przeglądarce każdego odwiedzającego formularz.
Ocena ryzyka
Atakujący może wykonać skrypt w przeglądarce odwiedzających, co może prowadzić do kradzieży sesji, deface'u strony lub kradzieży wrażliwych danych.
Rekomendacja
Zaktualizuj wtyczkę Bit Form do wersji 3.1.4 lub nowszej, która zawiera poprawkę sanityzacji ustawień wyświetlania.
Inne podatności w Bit Form
Zobacz wszystkie- CVE-2026-14372Wysokie
Wtyczka Bit Form dla WordPressa do wersji 3.1.1 włącznie zawiera podatność na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji deleteFiles. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym usunięcie dowolnych plików na serwerze.
- CVE-2026-16573Wysokie
Wtyczka Bit Form do WordPressa przed wersją 3.2.0 nie sanityzuje przesłanego obrazu podpisu przed jego zapisaniem, co pozwala nieuwierzytelnionym atakującym na przesłanie spreparowanego pliku SVG zawierającego JavaScript, który wykonuje się podczas przeglądania pliku, prowadząc do trwałego ataku XSS.
- CVE-2026-13694Średnie
Wtyczka Bit Form dla WordPressa przed wersją 3.1.0 nieprawidłowo waliduje token wyzwalacza workflow po wygaśnięciu transjenta. Pozwala to nieuwierzytelnionym atakującym na ponowne uruchomienie akcji workflow formularza, takich jak e-maile powiadomień i integracje.
Oryginalny opis (angielski, źródło NVD)
The Bit Form WordPress plugin before 3.1.4 does not sanitise one of its conversational-form display settings before rendering it on the public-facing form, allowing high-privilege users (such as administrators, who do not hold the unfiltered_html capability on multisite) to store JavaScript that executes in the browser of any visitor who views the form.