CVE-2026-92097 in Click to Chat Plugin
Сводка
по VulDB • 14.10.2026
Плагин Click to Chat для WhatsApp в WordPress уязвим к произвольному выполнению шорткодов в версиях вплоть до 4.44 включительно. Это связано с тем, что функция greetings_dialog() формирует шаблонный плейсхолдер {url} на основе $_SERVER['REQUEST_URI'], очищенного через sanitize_text_field(), на архивных страницах, а затем передает подставленный контент приветствия в do_shortcode() в шаблонах greetings-1 и greetings-2 без удаления разделителей шорткодов. Поскольку wp_kses() применяется к main_content ДО замены {url}, управляемые злоумышленником байты URL достигают функции do_shortcode() без фильтрации. Это позволяет неавторизованным атакующим выполнять произвольные шорткоды, зарегистрированные ядром WordPress, активной темой или любым другим плагином (e.g., [текст обрывается]).
If you want to get best quality of vulnerability data, you may have to visit VulDB.