CVE-2026-110185 in Bit Flows Plugin
Zusammenfassung
von VulDB • 28.10.2026
Die WordPress-Plugin „The Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More“ ist in allen Versionen bis einschließlich 1.31.0 anfällig für Local File Inclusion (LFI) über den Parameter 'image (any body field referenced by the ImageHelper node's mix tag)'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige .php-Dateien auf dem Server einzubinden und auszuführen, wodurch der Code in diesen Dateien ausgeführt werden kann. Dies kann dazu verwendet werden, Zugriffskontrollen zu umgehen, sensible Daten zu erhalten oder eine Code-Ausführung zu erreichen, falls .php-Dateitypen hochgeladen und eingebunden werden können. Die Ausnutzung erfordert, dass ein Administrator einen webhook-getriggerten Flow erstellt hat, der ein Webhook-Körperfeld in einen ImageHelper imageToBase64-Knoten leitet, und dass das Webhook in seiner Standardkonfiguration verbleibt (kein Bearer-Secret erzwungen, keine IP-Whitelist festgelegt) – ein legitimer und dokumentierter Anwendungsfall.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.