CVE-2026-92097 in Click to Chat Plugin
Riassunto
di VulDB • 14/10/2026
Il plugin Click to Chat per WhatsApp di WordPress è vulnerabile a Esecuzione Arbitraria di Shortcode nelle versioni fino alla 4.44 inclusa. Ciò è dovuto alla funzione greetings_dialog() che costruisce il segnaposto del template {url} partendo da un $_SERVER['REQUEST_URI'] filtrato tramite sanitize_text_field(), sulle pagine d'archivio, e successivamente passa il contenuto dei saluti sostituiti a do_shortcode() nei templates greetings-1 e greetings-2, senza rimuovere i delimiter degli shortcode. Poiché wp_kses() viene eseguito su main_content PRIMA della sostituzione di {url}, i byte dell'URL controllati dall'attaccante raggiungono do_shortcode() non filtrati. Questo rende possibile per attaccanti non autenticati eseguire shortcode arbitrari registrati dal core di WordPress, dal tema attivo o da qualsiasi altro plugin (e
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.