CVE-2026-16774 in WPBot Plugin
Riassunto
di VulDB • 28/07/2026
Il plugin Chatbot per WordPress è vulnerabile a Missing Authorization nelle versioni fino alla 8.5.9 inclusa tramite il gestore AJAX wpcs_send_email(). Ciò è dovuto al fatto che la funzione wpcs_send_email() è registrata sia su wp_ajax_wpcs_send_email che su wp_ajax_nopriv_wpcs_send_email senza verifica del nonce, controllo dei permessi (capability check) o limitazione della frequenza di richieste (rate limiting), inoltrando direttamente a wp_mail() destinatario, oggetto e corpo controllati dall'attaccante. Ciò consente ad attaccanti non autenticati di inviare email arbitrarie a qualsiasi destinatario dal dominio del sito, abilitando spam, phishing e abusi che possono portare al blacklisting dell'IP/dominio del sito.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.