CVE-2026-83593
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka WPBot – AI ChatBot dla WordPressa do wersji 8.7.3 włącznie jest podatna na trwały atak XSS przez parametr 'conversation' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Niezalogowani atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Ochrona oparta na nonce jest nieskuteczna, ponieważ nonce jest dostępny na każdej publicznej stronie.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji, przejęcie kont użytkowników i rozprzestrzenianie złośliwego kodu w obrębie witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo ogranicz dostęp do stron z wstrzykniętym skryptem i monitoruj logi pod kątem nietypowej aktywności.
Inne podatności w WPBot – AI ChatBot
Zobacz wszystkie- CVE-2026-16773Średnie
Wtyczka WPBot – AI ChatBot dla WordPress do wersji 8.5.9 zawiera podatność na ujawnienie wrażliwych informacji przez funkcję wpbot_send_email_transcript_free. Umożliwia to nieuwierzytelnionym atakującym wyeksfiltrowanie pełnych transkryptów czatów oraz powiązanych danych osobowych użytkowników (imiona, adresy e-mail, numery telefonów) przechowywanych w tabelach wpbot_user i wpbot_conversation na kontrolowany przez atakującego adres e-mail.
- CVE-2026-15610Średnie
Wtyczka WPBot – AI ChatBot dla WordPress w wersjach do 8.5.6 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta lub wyższym może wywołać ponowne osadzenie przechowywanych dokumentów RAG, modyfikując tabelę rag_documents i zużywając płatne kredyty API właściciela witryny (OpenAI, Gemini, OpenRouter lub xAI).
- CVE-2026-15106Średnie
Wtyczka WPBot – AI ChatBot dla WordPress do wersji 8.5.6 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych rekordów sesji czatu z tabel bazy danych, w tym historii rozmów i logów konwersacji. Luka wynika z braku weryfikacji uprawnień użytkownika przed wykonaniem akcji.
- CVE-2026-13731Wysokie
Wtyczka WPBot – AI ChatBot dla WordPress do wersji 8.4.9 włącznie zawiera podatność na przechowywany atak XSS przez parametr 'conversation'. Brak odpowiedniej sanitacji wejścia i eskejpowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Dodatkowo nonce AJAX wymagany do zapisu jest publicznie emitowany na każdej stronie frontendowej, co ułatwia eksploatację.
Oryginalny opis (angielski, źródło NVD)
The WPBot – AI ChatBot for Live Support, Lead Generation, AI Services plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'conversation' parameter in all versions up to, and including, 8.7.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The action is gated only by a nonce that is localized into every public-facing page via wp_localize_script, rendering the nonce check ineffective as an access control barrier for unauthenticated users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS