CVE-2026-92097 in Click to Chat Plugin
摘要
由 VulDB • 2026-10-14
WordPress 插件 Click to Chat for WhatsApp 在最高至 4.44 的版本中存在任意短代码执行漏洞。该问题源于 `greetings_dialog()` 函数从经过 `sanitize_text_field()` 过滤的 `$_SERVER['REQUEST_URI']` 构建 `{url}` 模板占位符，随后将替换后的问候内容传递到 `greetings-1` 和 `greetings-2` 模板中的 `do_shortcode()` 中，但未剥离短代码定界符。由于 `wp_kses()` 在 `{url}` 替换之前对 `main_content` 运行，攻击者控制的 URL 字节未经过滤便到达 `do_shortcode()`。这使得未认证的攻击者能够执行由 WordPress 核心、当前主题或任何其他插件注册的任意短代码（例如...
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.