CVE-2026-2955
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPress do wersji 1.4.14 włącznie zawiera podatność na trwałe XSS poprzez nagłówek X-Forwarded-For. Nieuwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript, który wykona się przy każdym dostępie do zainfekowanej strony. Uwaga: praktyczne wykorzystanie jest ograniczone do 20 znaków.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który będzie wykonywany przy każdym wyświetleniu strony, co może prowadzić do kradzieży sesji lub danych użytkowników.
Rekomendacja
Należy zaktualizować wtyczkę AI Chatbot & Workflow Automation by AIWU do najnowszej dostępnej wersji, która zawiera poprawkę.
Inne podatności w AI Chatbot & Workflow Automation by AIWU
Zobacz wszystkie- CVE-2026-6639Wysokie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 1.4.6 włącznie. Metoda `getCurrentTaskResults()` w `modules/workspace/controller.php` jest dostępna bez uwierzytelnienia i autoryzacji, co pozwala nieuwierzytelnionym atakującym na enumerację identyfikatorów zadań i pobranie danych konfiguracyjnych, w tym kluczy API OpenAI w postaci jawnego tekstu.
- CVE-2026-6804Średnie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa w wersjach do 1.4.12 włącznie zawiera podatność na ominięcie autoryzacji. Wynika to z nieprawidłowego weryfikowania uprawnień użytkownika przed wykonaniem akcji.
- CVE-2026-6803Średnie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa w wersjach do 1.4.12 zawiera brak autoryzacji w akcjach AJAX. Brak sprawdzania uprawnień i weryfikacji nonce powoduje, że nieuwierzytelnieni atakujący mogą usuwać konkretne rekordy po ID lub wszystkie rekordy z dowolnej tabeli bazy danych modułu.
Oryginalny opis (angielski, źródło NVD)
The AI Chatbot & Workflow Automation by AIWU plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'X-Forwarded-For' header in versions up to, and including, 1.4.14 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. NOTE: Practical exploitation is constrained due to a 20-character storage limit.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS