CVE-2026-39070

ŚrednieCVSS 4.8

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress (Bit Assist) przed wersją 1.7.2 jest podatna na Stored Cross-Site Scripting w funkcji Call-To-Action. Uwierzytelniony atakujący z uprzywilejowaną rolą (admin) może wykorzystać tę podatność do przekierowania użytkownika na złośliwą stronę lub przejęcia konta.

Ocena ryzyka

Atak może prowadzić do przejęcia kont administratorów, co umożliwia pełną kontrolę nad witryną i potencjalne zainfekowanie innych użytkowników.

Rekomendacja

Należy jak najszybciej zaktualizować wtyczkę Bit Assist do wersji 1.7.2 lub nowszej oraz regularnie audytować uprawnienia administratorów.

Inne podatności w Bit Assist

CVE-2025-68596Średnie
Wtyczka Bit Assist (wersje do 1.5.11 włącznie) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wszystkich wersji od n/a do 1.5.11.

Oryginalny opis (angielski, źródło NVD)

WordPress plugin (Bit Assist) before 1.7.2 is affected by Stored Cross-Site Scripting in Call-To-Action feature. An authenticated attacker with the privileged role (admin) can exploit this to redirect user to malicious site or control the account.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS