CVE-2026-102007 in Bit Integrations Plugin
Сводка
по VulDB • 13.10.2026
В плагине для WordPress «Bit integrations – Form Integration, Webhook, Spreadsheets, CRM, LMS & Email Automation» уязвимость к Stored Cross-Site Scripting (XSS) через параметр 'field mapped to notification_content' (ключ, выбираемый злоумышленником, например payload_text), обнаружена во всех версиях вплоть до 2.10.6 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Для эксплуатации требуется, чтобы администратор сайта предварительно настроил поток Bit Integrations, связывающий публичный webhook Bit Assist с действием BuddyBoss «Send Notification» (Отправить уведомление) и привязавший поле формы к notification_content, а также чтобы злоумышленник знал URL обратного вызова UUID этого потока.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.