CVE-2026-15054
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Bit Form dla WordPressa przed wersją 3.1.2 nie wymusza statusu aktywnego/opublikowanego formularza w publicznych handlerach zgłoszeń. Nieuwierzytelnieni użytkownicy mogą wysyłać zgłoszenia do dezaktywowanych lub nieopublikowanych formularzy oraz uruchamiać skonfigurowane przepływy pracy, takie jak powiadomienia e-mail.
Ocena ryzyka
Organizacja może otrzymywać niechciane zgłoszenia i powiadomienia z nieaktywnych formularzy, co może prowadzić do zamieszania lub wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę Bit Form do wersji 3.1.2 lub nowszej.
Inne podatności w Bit Form WordPress plugin
Zobacz wszystkie- CVE-2026-16810Średnie
Wtyczka Bit Form dla WordPressa, do wersji 3.2.0 włącznie, jest podatna na ogólne wstrzyknięcie SQL przez parametr 'data[queryCondition]'. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
- CVE-2026-13693Średnie
Wtyczka Bit Form dla WordPressa przed wersją 3.1.0 nie ogranicza wartości pola pliku formularza do bezpiecznej ścieżki przed odczytaniem pliku i dołączeniem go do powiadomienia e-mail. Pozwala to nieuwierzytelnionym atakującym na odczyt dowolnych plików serwera, takich jak plik konfiguracyjny WordPressa.
Oryginalny opis (angielski, źródło NVD)
The Bit Form WordPress plugin before 3.1.2 does not enforce a form's active/published status on its public form-submission handlers, allowing unauthenticated users to submit entries to, and fire the configured workflows (such as email notifications) of forms the site owner has deactivated or unpublished.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS