CVE-2026-16573
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Bit Form do WordPressa przed wersją 3.2.0 nie sanityzuje przesłanego obrazu podpisu przed jego zapisaniem, co pozwala nieuwierzytelnionym atakującym na przesłanie spreparowanego pliku SVG zawierającego JavaScript, który wykonuje się podczas przeglądania pliku, prowadząc do trwałego ataku XSS.
Ocena ryzyka
Atakujący może wykraść dane użytkowników, przejąć sesje lub wykonać nieautoryzowane działania w kontekście zalogowanych użytkowników, co może naruszyć integralność i poufność danych.
Rekomendacja
Zaktualizuj wtyczkę Bit Form do wersji 3.2.0 lub nowszej, która zawiera poprawkę. Dodatkowo rozważ użycie zapory aplikacyjnej (WAF) i regularne audyty bezpieczeństwa.
Inne podatności w Bit Form
Zobacz wszystkie- CVE-2026-14372Wysokie
Wtyczka Bit Form dla WordPressa do wersji 3.1.1 włącznie zawiera podatność na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji deleteFiles. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym usunięcie dowolnych plików na serwerze.
- CVE-2025-15669Średnie
Wtyczka Bit Form do WordPressa przed wersją 3.1.4 nie oczyszcza jednego z ustawień wyświetlania formularza konwersacyjnego przed renderowaniem go na publicznym formularzu, co pozwala użytkownikom z wysokimi uprawnieniami (takim jak administratorzy, którzy nie mają uprawnienia unfiltered_html w multisite) na przechowywanie JavaScriptu wykonywanego w przeglądarce każdego odwiedzającego formularz.
- CVE-2026-13694Średnie
Wtyczka Bit Form dla WordPressa przed wersją 3.1.0 nieprawidłowo waliduje token wyzwalacza workflow po wygaśnięciu transjenta. Pozwala to nieuwierzytelnionym atakującym na ponowne uruchomienie akcji workflow formularza, takich jak e-maile powiadomień i integracje.
Oryginalny opis (angielski, źródło NVD)
The Bit Form WordPress plugin before 3.2.0 does not sanitize an uploaded signature image before storing it, allowing unauthenticated attackers to upload a crafted SVG file containing JavaScript that executes when the file is viewed, leading to Stored Cross-Site Scripting.