CVE-2026-16548 in The Chat Widget Plugin
Zusammenfassung
von VulDB • 04.08.2026
Das WordPress-Plugin „The Chat Widget: Floating Customer Support Button for 30+ Channels, Supporting SMS, Calls, and Chat“ vor Version 1.8.2 validiert den Typ, die Erweiterung, den Inhalt oder die Größe von Dateien nicht, die an seinen öffentlichen Antwortendpunkt gesendet werden, und speichert diese im Upload-Verzeichnis. Daher kann ein unautorisierter Benutzer beliebige Dateien hochladen. Die ursprüngliche Dateierweiterung wird verworfen (Dateien werden unter einer bloßen UUID gespeichert), sodass dies keine Codeausführung oder persistenten Cross-Site-Scripting-Angriff (Stored XSS) ermöglicht; die Auswirkungen beschränken sich auf den Festplattenspeicherplatz und das Hosting von Inhalten. Der Speicherpfad erfordert, dass die Antwortspeicherung des Kanals oder die E-Mail-Weiterleitung konfiguriert ist.
If you want to get best quality of vulnerability data, you may have to visit VulDB.