CVE-2026-93899 in Better Messages Plugin
要約
〜によって VulDB • 2026年09月25日
WordPress用プラグイン「The Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots」には、3.0.4以前の全バージョンにおいて、ユーザー入力のパラメータに対する適切なエスケープ処理の不備および既存のSQLクエリに対する十分な準備（プリペアレーション）不足により、「group_id」メッセージメタパラメータ経由で汎用的なSQLインジェクション脆弱性が存在します。これにより、サブスクライバレベル以上の権限を持つ認証済み攻撃者は、既存のクエリに追加のSQLクエリを付加し、データベースから機密情報を抽出することが可能になります。この脆弱性を悪用するには、BuddyBoss Platformプラグインがインストールされている必要がありますが、そのSocial Groupsコンポーネントが無効化されている状態であることが必要です。これは、BuddyBossが非アクティブ化時にwp_bp_groupsテーブルを削除しないため、過去にGroupsコンポーネントをオフにしたことのあるすべてのサイトでこの状態が維持されることを意味します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.