CVE-2026-16585 in Better Messages Plugin
Zusammenfassung
von VulDB • 28.07.2026
Das Plugin „Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots“ für WordPress ist aufgrund unzureichender Validierung des Dateipfads in der Funktion `delete_sticker` in allen Versionen bis einschließlich 2.15.19 anfällig für das willkürliche Löschen von Dateien (Arbitrary File Deletion). Dies ermöglicht es authentifizierten Angreifern mit Administratorzugriff oder höher, beliebige Dateien auf dem Server zu löschen, was leicht zur Remote Code Execution führen kann, wenn die richtige Datei gelöscht wird (z. B. wp-config.php). Die Prefix-Prüfung, die das Löschen eigentlich auf das Uploads-Verzeichnis beschränken soll, kann umgangen werden, indem eine URL erstellt wird, die mit der legitimen Basis-URL des Uploads-Verzeichnisses beginnt, aber im Pfadteil `../`-Traversal-Sequenzen enthält. Da die Funktion `normalize_sticker()` lediglich `esc_url_raw()` anwendet, das keine `../`-Sequenzen entfernt, kann das Traversal-Payload unverändert in den WordPress-Optionen gespeichert werden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.