CVE-2026-6639
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 1.4.6 włącznie. Metoda `getCurrentTaskResults()` w `modules/workspace/controller.php` jest dostępna bez uwierzytelnienia i autoryzacji, co pozwala nieuwierzytelnionym atakującym na enumerację identyfikatorów zadań i pobranie danych konfiguracyjnych, w tym kluczy API OpenAI w postaci jawnego tekstu.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykraść klucze API i inne wrażliwe dane konfiguracyjne, co prowadzi do naruszenia bezpieczeństwa i potencjalnego nadużycia zasobów.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 1.4.6 i dodaj sprawdzanie uwierzytelnienia i autoryzacji do metody getCurrentTaskResults().
Inne podatności w AI Chatbot & Workflow Automation by AIWU
Zobacz wszystkie- CVE-2026-6804Średnie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa w wersjach do 1.4.12 włącznie zawiera podatność na ominięcie autoryzacji. Wynika to z nieprawidłowego weryfikowania uprawnień użytkownika przed wykonaniem akcji.
- CVE-2026-6803Średnie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa w wersjach do 1.4.12 zawiera brak autoryzacji w akcjach AJAX. Brak sprawdzania uprawnień i weryfikacji nonce powoduje, że nieuwierzytelnieni atakujący mogą usuwać konkretne rekordy po ID lub wszystkie rekordy z dowolnej tabeli bazy danych modułu.
- CVE-2026-2955Średnie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPress do wersji 1.4.14 włącznie zawiera podatność na trwałe XSS poprzez nagłówek X-Forwarded-For. Nieuwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript, który wykona się przy każdym dostępie do zainfekowanej strony. Uwaga: praktyczne wykorzystanie jest ograniczone do 20 znaków.
Oryginalny opis (angielski, źródło NVD)
The AI Chatbot & Workflow Automation by AIWU plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.4.6. This is due to the `getCurrentTaskResults()` method in `modules/workspace/controller.php` being accessible without authentication or authorization checks. The method is not included in the workspace controller's `getNoncedMethods()` array, the base `getPermissions()` returns an empty array, and all AJAX actions are registered with `wp_ajax_nopriv_` hooks (`classes/frame.php:282`). When tasks are created via features like the Bulk Post Generator, the task parameters — including the OpenAI API key in plaintext, AI prompts, keywords, and full AI model configuration — are stored in the database and returned in the JSON response. This makes it possible for unauthenticated attackers to enumerate sequential task IDs and retrieve sensitive configuration data including API keys.