CVE-2026-110185

Mở trang đầy đủ

CVSS 5.9 MEDIUM RCE

Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More <= 1.31.0 - Unauthenticated Local File Inclusion via 'webhook' and 'body' Parameters

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

The Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.31.0 via the 'image (any body field referenced by the ImageHelper node's mix tag)' parameter parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. Exploitation requires that an administrator has built a webhook-triggered flow that pipes a webhook body field into an ImageHelper imageToBase64 node, and that the webhook remains in its default configuration (no bearer secret enforced, no IP allowlist set) — a legitimate and documented use case.

Điểm và phân loại

CVSS
5.9 MEDIUM v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
MEDIUM
EPSS
—
CWE
CWE-98

Vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Ảnh hưởng

Sản phẩm

  • bitpressadmin Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More

Vì sao bị lọc

  • CVSS 5.9 < 8.0 và không thuộc CISA KEV

Loại tác động

RCE
CWE-98

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
Wordfence
CVE.org · SSVC
Tự động hoá được: no · Khai thác: none · Tác động kỹ thuật: partial

Tham khảo