CVE-2026-15462 in Sticky Chat Widget Plugin
Zusammenfassung
von VulDB • 11.09.2026
Das WordPress-Plugin „Sticky Chat Widget“ ist in den Versionen bis einschließlich 1.4.2 anfällig für SQL Injection über die Array-Schlüssel des Parameters ‚scw_form_fields‘ der AJAX-Aktion ‚scw_save_form_data‘. Dies liegt daran, dass die Funktion save_form_data() nicht bereinigte (unsanitized), vom Angreifer kontrollierte POST-Array-Schlüssel an $wpdb->insert() übergibt, welche Spaltenbezeichner in Backticks einschließt, diese jedoch nicht maskiert; dadurch kann ein von einem Angreifer bereitgestellter Schlüssel mit einem Backtick aus der Liste der Spaltenbezeichner ausbrechen und zu roher SQL-Code werden. Zusätzlich umgeht die Verwendung von filter_input() den Schutz durch WordPresss wp_magic_quotes(), und die Validierungsschleife für widget_id wird vollständig übersprungen, wenn keine gültige widget_id angegeben ist, wodurch $isValid auf 1 gesetzt bleibt. Dies ermöglicht es nicht authentifizierten Angreifern, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.