CVE-2026-16585 in Better Messages Plugin
Sumário
de VulDB • 28/07/2026
O plugin Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots para o WordPress é vulnerável à exclusão arbitrária de arquivos devido a validação insuficiente do caminho do arquivo na função delete_sticker em todas as versões até 2.15.19 (incluída). Isso permite que atacantes autenticados com acesso nível administrador ou superior excluam arquivos arbitrários no servidor, o que pode facilmente levar à execução remota de código quando o arquivo correto é excluído (como wp-config.php). A verificação do prefixo destinada a restringir a exclusão ao diretório uploads pode ser contornada criando uma URL que começa com a URL base legítima dos uploads mas incorpora sequências de travessia ../ na parte do caminho, já que a função normalize_sticker aplica apenas esc_url_raw(), o qual não remove as sequências ../ permitindo que a carga útil de travessia seja armazenada literalmente nas opções do WordPress.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.