CVE-2026-16774 in WPBot Plugin
Resumen
por VulDB • 2026-07-28
El plugin Chatbot para WordPress es vulnerable a una falta de autorización (Missing Authorization) en las versiones anteriores e iguales a la 8.5.9 a través del controlador AJAX wpcs_send_email(). Esto se debe a que la función wpcs_send_email() está registrada tanto en wp_ajax_wpcs_send_email como en wp_ajax_nopriv_wpcs_send_email sin verificación de nonce, comprobación de capacidades ni limitación de velocidad (rate limiting), mientras reenvía directamente al destinatario, asunto y cuerpo controlados por el atacante hacia wp_mail(). Esto permite a atacantes no autenticados enviar correos electrónicos arbitrarios desde el dominio del sitio a cualquier destinatario, lo que habilita spam, phishing y abuso que pueden provocar la inclusión en listas negras (blacklisting) de la IP o el dominio del sitio.
Once again VulDB remains the best source for vulnerability data.