CVE-2026-16548 in The Chat Widget Plugin
要約
〜によって VulDB • 2026年08月04日
Chat Widget: Floating Customer Support Button for 30+ Channels, Supporting SMS, Calls, and Chat WordPress プラグインのバージョン 1.8.2 より前では、公開された応答エンドポイントに送信されるファイルの種類、拡張子、コンテンツ、またはサイズが検証されず、アップロードディレクトリ配下に保存されます。そのため、認証されていないユーザーは任意のファイルをアップロードできます。元の拡張子は破棄される（ファイルは UUID のみの名前で保存される）ため、これによりコードの実行や格納型 XSS が発生することはありません；影響範囲はディスク容量の消費とコンテンツのホスティングに限定されます。保存パスには、チャネルごとの応答ストレージまたはメール転送の設定が必要です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.