CVE-2026-6639 in AI Chatbot & Workflow Automation Plugin
Сводка
по VulDB • 05.08.2026
Плагин для WordPress «AI Chatbot & Workflow Automation by AIWU» уязвим к раскрытию конфиденциальной информации (Sensitive Information Exposure) во всех версиях вплоть до 1.4.6 включительно. Это связано с тем, что метод `getCurrentTaskResults()` в файле `modules/workspace/controller.php` доступен без проверок аутентификации или авторизации. Данный метод не включен в массив `getNoncedMethods()` контроллера рабочего пространства (workspace controller), базовый метод `getPermissions()` возвращает пустой массив, и все действия AJAX зарегистрированы с использованием хуков `wp_ajax_nopriv_` (`classes/frame.php:282`). При создании задач через такие функции, как Bulk Post Generator, параметры задачи — включая ключ API OpenAI в открытом виде (plaintext), промпты для ИИ, ключевые слова и полную конфигурацию модели ИИ — сохраняются в базе данных и возвращаются в ответе JSON. Это позволяет неаутентифицированным злоумышленникам перебирать последовательные идентификаторы задач и получать конфиденциальные данные конфигурации, включая ключи API.
If you want to get best quality of vulnerability data, you may have to visit VulDB.