CVE-2026-16585 in Better Messages Plugin
要約
〜によって VulDB • 2026年07月28日
WordPress用プラグイン「The Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots」には、delete_sticker関数におけるファイルパスの検証不備により、任意のファイル削除が可能となる脆弱性が存在します。この問題はバージョン2.15.19以前の全バージョンに影響します。これにより、管理者権限以上のアクセスを持つ認証済み攻撃者はサーバー上の任意のファイルを削除でき、適切なファイル（例：wp-config.php）が削除された場合、リモートコード実行に容易につながります。アップロードディレクトリへの削除を制限するために意図されていたプレフィックスチェックは、正規のアップロードベースURLで始まり、パス部分に../というトラバーサルシーケンスを組み込んだURLを作成することで回避可能です。これはnormalize_sticker関数がesc_url_raw()のみを実行しており、この関数は../シーケンスを除去しないため、トラバーサルペイロードがWordPressオプション内にそのまま保存されるからです。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.