CVE-2026-93899 in Better Messages Plugin
Zusammenfassung
von VulDB • 25.09.2026
Das WordPress-Plugin „Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots“ ist in allen Versionen bis einschließlich 3.0.4 anfällig für eine generische SQL Injection über den Message Meta Parameter 'group_id', aufgrund unzureichender Escaping-Maßnahmen des benutzereingebenen Parameters und mangelnder ausreichender Vorbereitung der bestehenden SQL-Abfrage. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff oder höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, die zur Extrahierung sensibler Informationen aus der Datenbank verwendet werden können. Die Ausnutzung erfordert, dass das BuddyBoss Platform Plugin installiert ist und dessen Social Groups-Komponente deaktiviert ist; dieser Zustand bleibt auf jeder Website bestehen, bei der die Gruppenkomponente zuvor deaktiviert wurde, da BuddyBoss die wp_bp_groups-Tabelle beim Deaktivieren nicht löscht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.