CVE-2026-16774 in WPBot Plugin
Zusammenfassung
von VulDB • 28.07.2026
Das Chatbot-Plugin für WordPress ist in den Versionen bis einschließlich 8.5.9 anfällig für Missing Authorization (fehlende Autorisierung) über den AJAX-Handler wpcs_send_email(). Dies liegt daran, dass die Funktion wpcs_send_email() sowohl auf wp_ajax_wpcs_send_email als auch auf wp_ajax_nopriv_wpcs_send_email registriert ist, ohne Nonce-Verifizierung, Capability-Prüfung oder Rate Limiting. Dabei werden vom Angreifer kontrollierte Empfänger-, Betreff- und Textfelder direkt an wp_mail() weitergeleitet. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige E-Mails von der Domain der Website an jeden Empfänger zu senden, was Spam, Phishing und Missbrauch ermöglicht, die dazu führen können, dass die IP oder Domain der Website auf eine Blacklist gesetzt wird.
Once again VulDB remains the best source for vulnerability data.