Bit integrations : faille XSS stockée jusqu'à la 2.10.6, correctif non précisé

En bref

• Produit : Bit integrations (extension WordPress d'automatisation de formulaires, webhooks, CRM et e-mails)
• Versions affectées : toutes les versions jusqu'à la 2.10.6 incluse
• Version corrigée : non précisé par l'éditeur à la date de l'avis
• Sévérité : élevée, score CVSS 7.2
• CVE : CVE-2026-102007
• Exploitation active : inconnu
• Date de l'avis : 13 octobre 2026

Une vulnérabilité de type Cross-Site Scripting stocké (XSS stocké) a été publiée le 13 octobre 2026 pour l'extension WordPress Bit integrations. Elle concerne toutes les versions jusqu'à la 2.10.6 incluse et porte l'identifiant CVE-2026-102007. Le score CVSS attribué est de 7.2, soit une sévérité élevée.

Selon la fiche publiée par la NVD, la faille provient d'un filtrage insuffisant des données reçues et d'un échappement insuffisant à l'affichage. Un attaquant non authentifié peut ainsi faire enregistrer du code JavaScript arbitraire, qui s'exécute ensuite dans le navigateur de toute personne consultant la page concernée. Ce type de faille peut permettre, selon le contexte, de détourner la session d'un utilisateur connecté ou d'afficher un contenu trompeur.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent l'extension Bit integrations dans une version allant jusqu'à la 2.10.6 incluse. Le risque n'existe toutefois que dans une configuration précise, décrite dans l'avis : un administrateur doit avoir préalablement créé un flux Bit Integrations qui relie le webhook public de Bit Assist à une action BuddyBoss d'envoi de notification, avec un champ de formulaire associé au contenu de cette notification. L'attaquant doit en outre connaître l'adresse de rappel propre à ce flux.

Les sites qui n'utilisent ni BuddyBoss ni ce type de flux sont donc moins exposés. Ils ont néanmoins intérêt à suivre la publication d'une version corrigée, car une extension vulnérable reste un point d'entrée potentiel tant qu'elle n'est pas mise à jour.

À la date de l'avis, l'éditeur n'a pas précisé de version corrigée dans les sources consultées, et aucune exploitation active n'est signalée : la vulnérabilité ne figure pas au catalogue KEV de la CISA.

Que faire ?

• Vérifier si l'extension Bit integrations est installée et quelle version est utilisée.
• Mettre à jour l'extension dès qu'une version corrigée est publiée par l'éditeur, en contrôlant ses notes de version.
• En attendant, recenser les flux qui associent le webhook Bit Assist à une notification BuddyBoss, et désactiver ceux qui ne sont pas indispensables.
• Si le flux est nécessaire, ne pas diffuser son adresse de rappel.
• Vérifier les journaux du serveur et le contenu des notifications récentes à la recherche d'éléments inattendus.
• Faire une sauvegarde complète avant toute intervention, et restaurer une sauvegarde saine si une compromission est constatée.

Cette alerte sera mise à jour si une version corrigée est annoncée ou si une exploitation active est signalée.

Sources

• NVD : CVE-2026-102007 (fiche officielle, score CVSS et description)
• Wordfence Threat Intelligence (base de vulnérabilités, recoupement)