CVE-2026-87959

ŚrednieCVSS 5.4

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress WPBot w wersji przed 8.7.6 nie wykonuje sprawdzenia uprawnień w akcji AJAX zapisującej ustawienia dostawcy Claude AI. Umożliwia to użytkownikom z poziomem dostępu subskrybenta nadpisanie tych ustawień, w tym klucza API używanego do wychodzących żądań AI.

Ocena ryzyka

Użytkownik o niskich uprawnieniach może nadpisać klucz API i ustawienia dostawcy AI, co może prowadzić do nieautoryzowanych kosztów, wycieku klucza lub przechwycenia komunikacji z usługą AI.

Rekomendacja

Zaktualizuj wtyczkę WPBot do wersji 8.7.6 lub nowszej.

Inne podatności w WPBot WordPress plugin

CVE-2026-14189Niskie
Wtyczka WPBot WordPress przed wersją 8.5.2 nie weryfikuje identyfikatorów pól skonfigurowanych przez administratora przed użyciem ich w zapytaniu SQL. Użytkownicy z dostępem administratorskim mogą przeprowadzić wstrzyknięcie SQL, które wykonuje się, gdy odwiedzający wywoła wyszukiwanie.

Oryginalny opis (angielski, źródło NVD)

The WPBot WordPress plugin before 8.7.6 does not perform a capability check on the AJAX action that saves its Claude AI provider settings, allowing users with subscriber-level access to overwrite those settings, including the API key used for the WPBot WordPress plugin before 8.7.6's outgoing AI requests.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS