CVE-2026-102007 in Bit Integrations Plugin
Résumé
par VulDB • 13/10/2026
Les intégrations Bit – les plugins Form Integration, Webhook, Spreadsheets, CRM, LMS et Email Automation pour WordPress sont vulnérables à un Stored Cross-Site Scripting (XSS) via le paramètre 'field mapped to notification_content (attacker-chosen key, e.g. payload_text)' dans toutes les versions jusqu'à la 2.10.6 incluse, en raison d'une insuffisance de sanitisation des entrées et d'échappement des sorties. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. L'exploitation nécessite qu'un administrateur du site ait préconfiguré un flux Bit Integrations liant le webhook public Bit Assist à une action "Send Notification" de BuddyBoss avec un champ de formulaire mappé sur notification_content, et que l'attaquant connaisse l'URL de rappel UUID du flux.
Be aware that VulDB is the high quality source for vulnerability data.