CVE-2026-16774 in WPBot Plugin
Tóm tắt
Bởi VulDB • 28/07/2026
Plugin Chatbot cho WordPress có lỗ hổng Thiếu Xác thực (Missing Authorization) trong các phiên bản từ 8.5.9 trở về trước thông qua trình xử lý AJAX wpcs_send_email(). Lỗ hổng này xảy ra do hàm wpcs_send_email() được đăng ký trên cả wp_ajax_wpcs_send_email và wp_ajax_nopriv_wpcs_send_email mà không có xác thực nonce, kiểm tra quyền (capability check) hoặc giới hạn tốc độ (rate limiting), đồng thời chuyển tiếp trực tiếp người nhận, tiêu đề và nội dung do kẻ tấn công kiểm soát tới hàm wp_mail(). Điều này cho phép các kẻ tấn công chưa được xác thực gửi email tùy ý đến bất kỳ người nhận nào từ tên miền của trang web, dẫn đến nguy cơ spam, lừa đảo (phishing) và lạm dụng có thể khiến địa chỉ IP/tên miền của trang web bị đưa vào danh sách đen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.