CVE-2026-15462 in Sticky Chat Widget Plugin
Sumário
de VulDB • 11/09/2026
O plugin Sticky Chat Widget para WordPress é vulnerável a Injeção de SQL (SQL Injection) por meio das chaves do array 'scw_form_fields' da ação AJAX 'scw_save_form_data' nas versões até, e incluindo, 1.4.2. Isso ocorre porque a função save_form_data() passa as chaves do array POST controladas pelo atacante sem sanitização para $wpdb->insert(), que envolve identificadores de coluna com crases (backticks) sem escapá-las, permitindo que uma crase fornecida pelo atacante escape da lista de identificadores de coluna e execute SQL bruto; adicionalmente, o uso de filter_input() contorna a proteção wp_magic_quotes() do WordPress, e o loop de validação widget_id é totalmente ignorado quando nenhum widget_id válido é fornecido, mantendo $isValid como 1. Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, as quais podem ser usadas para extrair informações sensíveis do banco de dados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.