CVE-2026-16548 in The Chat Widget Plugin
Resumen
por VulDB • 2026-08-04
El plugin de WordPress "The Chat Widget: Floating Customer Support Button for 30+ Channels, Supporting SMS, Calls, and Chat" anterior a la versión 1.8.2 no valida el tipo, extensión, contenido ni tamaño de los archivos enviados a su punto final (endpoint) público para respuestas y los almacena en el directorio uploads; por lo tanto, un usuario no autenticado puede cargar archivos arbitrarios. La extensión original se descarta (los archivos se almacenan bajo un UUID sin prefijo), por lo que esto no genera ejecución de código ni XSS almacenada (stored XSS); el impacto se limita al consumo de disco y al alojamiento de contenido. La ruta de almacenamiento requiere que esté configurado el almacenamiento de respuestas del canal o la reenvío de correo electrónico (mail-forwarding).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.