CVE-2026-87916
NieznaneStreszczenie
Wtyczka WPBot dla WordPressa w wersji przed 8.6.0 nie wykonuje żadnego sprawdzenia uprawnień ani nonce w akcji AJAX, która wyświetla zapisane sesje czatu. Umożliwia to nieuwierzytelnionym atakującym pobranie imienia, adresu e-mail i numeru telefonu każdego odwiedzającego czat poprzez żądanie szerokiego zakresu dat.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dane osobowe wszystkich odwiedzających czat, co stanowi poważne naruszenie prywatności i może skutkować konsekwencjami prawnymi (RODO). Ryzyko dla reputacji i zgodności jest wysokie.
Rekomendacja
Zaktualizuj wtyczkę do wersji 8.6.0 lub nowszej, aby naprawić brak sprawdzenia uprawnień i nonce.
Inne podatności w WPBot
Zobacz wszystkie- CVE-2026-87918Nieznane
Wtyczka WPBot dla WordPressa w wersji przed 8.5.7 nie wykonuje żadnej autoryzacji ani sprawdzenia nonce w kilku akcjach AJAX, które przekazują zapytania do skonfigurowanych dostawców AI. Umożliwia to nieuwierzytelnionym atakującym wykonywanie wywołań API stron trzecich i generowanie kosztów przy użyciu kluczy API skonfigurowanych w witrynie.
- CVE-2026-14185Średnie
Wtyczka WPBot dla WordPressa przed wersją 8.2.0 nie sprawdza uprawnień ani nonce w jednym z handlerów ustawień generowania wspomaganego wyszukiwaniem. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta modyfikację konfiguracji wtyczki.
Oryginalny opis (angielski, źródło NVD)
The WPBot WordPress plugin before 8.6.0 does not perform any capability or nonce check on the AJAX action that lists stored chat sessions, allowing unauthenticated attackers to retrieve the name, email address and phone number of every chat visitor by requesting a wide date range.