CVE-2026-13694
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Bit Form dla WordPressa przed wersją 3.1.0 nieprawidłowo waliduje token wyzwalacza workflow po wygaśnięciu transjenta. Pozwala to nieuwierzytelnionym atakującym na ponowne uruchomienie akcji workflow formularza, takich jak e-maile powiadomień i integracje.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane wysyłanie e-maili i wykonywanie integracji, co może prowadzić do spamowania użytkowników lub niekontrolowanych działań w systemach zewnętrznych.
Rekomendacja
Zaktualizuj wtyczkę Bit Form do wersji 3.1.0 lub nowszej, która zawiera poprawkę walidacji tokena.
Inne podatności w Bit Form
Zobacz wszystkie- CVE-2026-14372Wysokie
Wtyczka Bit Form dla WordPressa do wersji 3.1.1 włącznie zawiera podatność na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji deleteFiles. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym usunięcie dowolnych plików na serwerze.
- CVE-2026-16573Wysokie
Wtyczka Bit Form do WordPressa przed wersją 3.2.0 nie sanityzuje przesłanego obrazu podpisu przed jego zapisaniem, co pozwala nieuwierzytelnionym atakującym na przesłanie spreparowanego pliku SVG zawierającego JavaScript, który wykonuje się podczas przeglądania pliku, prowadząc do trwałego ataku XSS.
- CVE-2025-15669Średnie
Wtyczka Bit Form do WordPressa przed wersją 3.1.4 nie oczyszcza jednego z ustawień wyświetlania formularza konwersacyjnego przed renderowaniem go na publicznym formularzu, co pozwala użytkownikom z wysokimi uprawnieniami (takim jak administratorzy, którzy nie mają uprawnienia unfiltered_html w multisite) na przechowywanie JavaScriptu wykonywanego w przeglądarce każdego odwiedzającego formularz.
Oryginalny opis (angielski, źródło NVD)
The Bit Form WordPress plugin before 3.1.0 does not properly validate its workflow-trigger token once the associated transient has expired, allowing unauthenticated attackers to re-trigger a form's configured workflow actions such as notification emails and integrations.