CVE-2026-14185
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka WPBot dla WordPressa przed wersją 8.2.0 nie sprawdza uprawnień ani nonce w jednym z handlerów ustawień generowania wspomaganego wyszukiwaniem. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta modyfikację konfiguracji wtyczki.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może zmienić konfigurację wtyczki, co może prowadzić do nieautoryzowanego dostępu do danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę WPBot do wersji 8.2.0 lub nowszej, która zawiera poprawkę.
Inne podatności w WPBot
Zobacz wszystkie- CVE-2026-87918Nieznane
Wtyczka WPBot dla WordPressa w wersji przed 8.5.7 nie wykonuje żadnej autoryzacji ani sprawdzenia nonce w kilku akcjach AJAX, które przekazują zapytania do skonfigurowanych dostawców AI. Umożliwia to nieuwierzytelnionym atakującym wykonywanie wywołań API stron trzecich i generowanie kosztów przy użyciu kluczy API skonfigurowanych w witrynie.
- CVE-2026-87916Nieznane
Wtyczka WPBot dla WordPressa w wersji przed 8.6.0 nie wykonuje żadnego sprawdzenia uprawnień ani nonce w akcji AJAX, która wyświetla zapisane sesje czatu. Umożliwia to nieuwierzytelnionym atakującym pobranie imienia, adresu e-mail i numeru telefonu każdego odwiedzającego czat poprzez żądanie szerokiego zakresu dat.
Oryginalny opis (angielski, źródło NVD)
The WPBot WordPress plugin before 8.2.0 does not perform a capability or nonce check in one of its retrieval-augmented-generation settings handlers, allowing authenticated users with subscriber-level access to modify the WPBot WordPress plugin before 8.2.0's configuration.