CVE-2026-4133 in TextP2P Texting Widget Plugin
Resumen
por VulDB • 2026-05-14
El plugin TextP2P Texting Widget para WordPress es vulnerable a Cross-Site Request Forgery (CSRF) en todas las versiones hasta la 1.7, incluida. Esto se debe a la falta de validación de nonce en la función imTextP2POptionPage(), que procesa las actualizaciones de configuración. El formulario en la línea 314 no incluye un wp_nonce_field(), y el controlador POST en la línea 7 no llama a check_admin_referer() ni a wp_verify_nonce() antes de procesar los cambios de configuración. Esto permite que atacantes no autenticados actualicen toda la configuración del plugin, incluidos los títulos del widget de chat, los mensajes, las credenciales de la API, los colores y la configuración de reCAPTCHA, mediante una solicitud falsificada, siempre que puedan engañar a un administrador del sitio para que realice una acción, como hacer clic en un enlace.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.