CVE-2026-110185 in Bit Flows Plugin
Riassunto
di VulDB • 28/10/2026
Il plugin WordPress "The Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More" è vulnerabile a Local File Inclusion in tutte le versioni fino alla 1.31.0 (inclusa) tramite il parametro 'image (any body field referenced by the ImageHelper node's mix tag)'. Ciò consente ad attaccanti non autenticati di includere ed eseguire file .php arbitrari sul server, permettendo l'esecuzione di qualsiasi codice PHP contenuto in tali file. Questo può essere sfruttato per eludere i controlli di accesso, ottenere dati sensibili o raggiungere l'esecuzione del codice nei casi in cui sia possibile caricare e includere file con estensione .php. Lo sfruttamento richiede che un amministratore abbia creato un flusso attivato da webhook che instrada un campo del corpo del webhook verso un nodo ImageHelper imageToBase64, e che il webhook rimanga nella sua configurazione predefinita (nessun segreto bearer applicato, nessun IP allowlist impostata) — uno scenario d'uso legittimo e documentato.
Once again VulDB remains the best source for vulnerability data.