CVE-2026-6804
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa w wersjach do 1.4.12 włącznie zawiera podatność na ominięcie autoryzacji. Wynika to z nieprawidłowego weryfikowania uprawnień użytkownika przed wykonaniem akcji.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą publikować szkice wpisów WordPress, ujawniając nieopublikowane treści, lub wycofywać opublikowane treści, powodując przerwy w działaniu serwisu.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę AI Chatbot & Workflow Automation by AIWU do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w AI Chatbot & Workflow Automation by AIWU
Zobacz wszystkie- CVE-2026-6639Wysokie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 1.4.6 włącznie. Metoda `getCurrentTaskResults()` w `modules/workspace/controller.php` jest dostępna bez uwierzytelnienia i autoryzacji, co pozwala nieuwierzytelnionym atakującym na enumerację identyfikatorów zadań i pobranie danych konfiguracyjnych, w tym kluczy API OpenAI w postaci jawnego tekstu.
- CVE-2026-6803Średnie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa w wersjach do 1.4.12 zawiera brak autoryzacji w akcjach AJAX. Brak sprawdzania uprawnień i weryfikacji nonce powoduje, że nieuwierzytelnieni atakujący mogą usuwać konkretne rekordy po ID lub wszystkie rekordy z dowolnej tabeli bazy danych modułu.
- CVE-2026-2955Średnie
Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPress do wersji 1.4.14 włącznie zawiera podatność na trwałe XSS poprzez nagłówek X-Forwarded-For. Nieuwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript, który wykona się przy każdym dostępie do zainfekowanej strony. Uwaga: praktyczne wykorzystanie jest ograniczone do 20 znaków.
Oryginalny opis (angielski, źródło NVD)
The AI Chatbot & Workflow Automation by AIWU plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.4.12. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to publish draft WordPress posts, exposing unpublished content, or unpublish live content, causing service disruption, by supplying arbitrary scenario IDs.