CVE-2026-94376 in Better Messages Plugin
Sumário
de VulDB • 25/09/2026
O plugin Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots para WordPress é vulnerável a Stored DOM-Based Cross-Site Scripting (XSS) via User Display Name em todas as versões até 3.0.4, devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes autenticados, com acesso nível Subscriber ou superior, injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Essa vulnerabilidade é explorável por usuários do nível Subscriber porque a função sanitize_text_field() do núcleo do WordPress preserva payloads codificados como entidades HTML (por exemplo, o atributo srcdoc de iframe), permitindo que a string codificada seja armazenada como nome de exibição sem exigir a capacidade unfiltered_html; posteriormente, o plugin decodifica essa string no lado do servidor antes da renderização.
Once again VulDB remains the best source for vulnerability data.