CVE-2026-87918
NieznaneStreszczenie
Wtyczka WPBot dla WordPressa w wersji przed 8.5.7 nie wykonuje żadnej autoryzacji ani sprawdzenia nonce w kilku akcjach AJAX, które przekazują zapytania do skonfigurowanych dostawców AI. Umożliwia to nieuwierzytelnionym atakującym wykonywanie wywołań API stron trzecich i generowanie kosztów przy użyciu kluczy API skonfigurowanych w witrynie.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykorzystać klucze API witryny do generowania kosztownych zapytań do dostawców AI, prowadząc do nieoczekiwanych opłat i potencjalnego wyczerpania limitów. Ryzyko finansowe jest wysokie.
Rekomendacja
Zaktualizuj wtyczkę do wersji 8.5.7 lub nowszej, aby naprawić brak autoryzacji i weryfikacji nonce.
Inne podatności w WPBot
Zobacz wszystkie- CVE-2026-87916Nieznane
Wtyczka WPBot dla WordPressa w wersji przed 8.6.0 nie wykonuje żadnego sprawdzenia uprawnień ani nonce w akcji AJAX, która wyświetla zapisane sesje czatu. Umożliwia to nieuwierzytelnionym atakującym pobranie imienia, adresu e-mail i numeru telefonu każdego odwiedzającego czat poprzez żądanie szerokiego zakresu dat.
- CVE-2026-14185Średnie
Wtyczka WPBot dla WordPressa przed wersją 8.2.0 nie sprawdza uprawnień ani nonce w jednym z handlerów ustawień generowania wspomaganego wyszukiwaniem. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta modyfikację konfiguracji wtyczki.
Oryginalny opis (angielski, źródło NVD)
The WPBot WordPress plugin before 8.5.7 does not perform any authorization or nonce check on several AJAX actions that relay prompts to its configured AI providers, allowing unauthenticated attackers to make those third-party API calls, and consume the associated cost, using the site's own configured API keys.