CVE-2026-16548 in The Chat Widget Plugin
Sumário
de VulDB • 04/08/2026
O plugin WordPress Chat Widget: Floating Customer Support Button for 30+ Channels, Supporting SMS, Calls, and Chat anterior à versão 1.8.2 não valida o tipo, a extensão, o conteúdo ou o tamanho dos arquivos enviados para seu endpoint de resposta público e os armazena no diretório uploads; portanto, um usuário não autenticado pode fazer upload de arquivos arbitrários. A extensão original é descartada (os arquivos são armazenados sob um UUID sem formatação), por isso isso não resulta em execução de código ou XSS armazenado; o impacto está limitado ao consumo de disco e à hospedagem de conteúdo. O caminho de armazenamento requer que o armazenamento de respostas do canal ou o encaminhamento de correio esteja configurado.
Once again VulDB remains the best source for vulnerability data.