CVE-2026-11989

总结

WordPress 的 Bit integrations – Form Integration、Webhook、Spreadsheets、CRM、LMS 与 Email Automation 插件在所有版本（包括 2.8.7）中，通过 upload_attachment 存在服务器端请求伪造漏洞。这使得未经身份验证的攻击者能够从 Web 应用程序发起对任意位置的 Web 请求，并可用于查询和修改内部服务的信息。利用该漏洞需要将表单集成配置为将字段映射到 WooCommerce 产品图片、产品图库、可下载文件或 Google Contacts 附件字段，而这是这些集成的默认使用场景。

来源

• PoC-in-GitHub未知

  📡 PoC 自动从 GitHub 收集。⚠️ 小心恶意软件。