CVE-2026-14372
WysokieCVSS 7.1Streszczenie
Wtyczka Bit Form dla WordPressa do wersji 3.1.1 włącznie zawiera podatność na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji deleteFiles. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym usunięcie dowolnych plików na serwerze.
Ocena ryzyka
Ryzyko polega na możliwości usunięcia krytycznych plików konfiguracyjnych, takich jak wp-config.php, co może prowadzić do zdalnego wykonania kodu i całkowitego przejęcia kontroli nad witryną WordPress.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Bit Form do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w Bit Form
Zobacz wszystkie- CVE-2026-16573Wysokie
Wtyczka Bit Form do WordPressa przed wersją 3.2.0 nie sanityzuje przesłanego obrazu podpisu przed jego zapisaniem, co pozwala nieuwierzytelnionym atakującym na przesłanie spreparowanego pliku SVG zawierającego JavaScript, który wykonuje się podczas przeglądania pliku, prowadząc do trwałego ataku XSS.
- CVE-2025-15669Średnie
Wtyczka Bit Form do WordPressa przed wersją 3.1.4 nie oczyszcza jednego z ustawień wyświetlania formularza konwersacyjnego przed renderowaniem go na publicznym formularzu, co pozwala użytkownikom z wysokimi uprawnieniami (takim jak administratorzy, którzy nie mają uprawnienia unfiltered_html w multisite) na przechowywanie JavaScriptu wykonywanego w przeglądarce każdego odwiedzającego formularz.
- CVE-2026-13694Średnie
Wtyczka Bit Form dla WordPressa przed wersją 3.1.0 nieprawidłowo waliduje token wyzwalacza workflow po wygaśnięciu transjenta. Pozwala to nieuwierzytelnionym atakującym na ponowne uruchomienie akcji workflow formularza, takich jak e-maile powiadomień i integracje.
Oryginalny opis (angielski, źródło NVD)
The Bit Form – Contact Form, Payment Forms, Multi Step Forms, Calculator & Custom Form Builder plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the deleteFiles function in all versions up to, and including, 3.1.1 This makes it possible for authenticated attackers, with subscriber-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config).