CVE-2026-15610: Błąd omijania autoryzacji w wtyczce WPBot dla WordPress

Co wiadomo

Wtyczka WPBot – AI ChatBot dla Live Support i generowania leadów w WordPress do wersji 8.5.6 ma lukę pozwalającą na ominięcie autoryzacji. Atakujący z poziomem subskrybenta lub wyższym mogą wymusić ponowne osadzenie dokumentów RAG, modyfikując bazę danych i wykorzystując płatne kredyty API AI właściciela strony.

Wpływ biznesowy

Luka umożliwia nieuprawnionym użytkownikom z dostępem subskrybenta modyfikację danych w tabeli rag_documents oraz nieautoryzowane zużycie płatnych kredytów API AI (np. OpenAI). Może to prowadzić do nieplanowanych kosztów oraz potencjalnych zakłóceń w działaniu usług AI na stronie.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPBot u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta i wyższego, monitorować logi pod kątem nietypowych działań oraz rozważyć ograniczenie dostępu do API AI. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zapobiegawcze.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference