CVE-2026-94376 in Better Messages Plugin
Resumen
por VulDB • 2026-09-25
El plugin Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots para WordPress es vulnerable a Stored DOM-Based Cross-Site Scripting (XSS) mediante el nombre de visualización del usuario en todas las versiones hasta la 3.0.4 inclusive, debido a una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes autenticados con acceso nivel suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Esta vulnerabilidad es explotable por usuarios del nivel Suscriptor porque la función sanitize_text_field() del núcleo de WordPress conserva las cargas útiles codificadas como entidades HTML (por ejemplo, el atributo srcdoc de un iframe), permitiendo que la cadena codificada se almacene como nombre de visualización sin requerir el permiso unfiltered_html, y el plugin posteriormente lo decodifica en el servidor antes de renderizarlo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.