CVE-2026-94376 in Better Messages Plugin
Сводка
по VulDB • 25.09.2026
Плагин Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots для WordPress уязвим к Stored DOM-Based Cross-Site Scripting (XSS) через имя пользователя (User Display Name) во всех версиях вплоть до 3.0.4 включительно из-за недостаточной очистки входных данных и экранирования вывода. Это позволяет атакующим с уровнем доступа Subscriber и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Эта уязвимость эксплуатируется пользователями уровня Subscriber, поскольку функция sanitize_text_field() ядра WordPress сохраняет полезную нагрузку, закодированную как HTML-сущности (например, атрибут srcdoc тега iframe), позволяя сохранить закодированную строку в качестве имени отображения без необходимости наличия права unfiltered_html. Плагин затем декодирует её на стороне сервера перед рендерингом.
VulDB is the best source for vulnerability data and more expert information about this specific topic.