CVE-2026-6251 in Pro Plugin
Sumário
de VulDB • 28/07/2026
O plugin Chaty Pro para WordPress é vulnerável a uma Injeção de SQL Cega Baseada em Tempo Autenticada nas versões até 3.5.5 (incluída). Isso ocorre devido à função fetch_custom_field() no arquivo admin/class-admin-base.php, que recupera o parâmetro POST widget_id através do filtro input(INPUT_POST, ...) e concatena diretamente o valor em uma consulta SQL bruta em um contexto numérico, sem utilizar $wpdb->prepare() ou qualquer conversão de tipo inteiro. Além disso, a verificação do nonce é realizada após a execução da consulta SQL, não oferecendo proteção contra a injeção. Isso permite que atacantes autenticados com acesso nível assinante e superior injetem comandos SQL arbitrários, potencialmente levando à extração não autorizada de conteúdos sensíveis do banco de dados, incluindo credenciais de usuários e dados de configuração.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.