CVE-2026-18555
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots dla WordPressa (wszystkie wersje do 2.15.22 włącznie) jest podatna na odbite Cross-Site Scripting (Reflected XSS) poprzez parametr 'icn' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, np. kliknięcia w link.
Ocena ryzyka
Reflected XSS może pozwolić na kradzież danych sesyjnych lub wykonanie działań w imieniu użytkownika po kliknięciu spreparowanego linku. Ryzyko dotyczy wszystkich użytkowników witryny, w tym administratorów.
Rekomendacja
Należy zaktualizować wtyczkę Better Messages do wersji nowszej niż 2.15.22, która usuwa tę podatność.
Inne podatności w Better Messages
Zobacz wszystkie- CVE-2026-89334Średnie
Wtyczka Better Messages dla WordPressa (wersje do 2.15.33 włącznie) pozwala na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z niestandardowym poziomem dostępu może uzyskać dostęp do pełnej historii wiadomości, metadanych wątku i danych użytkowników dowolnego czatu bez autoryzacji. Podatność występuje tylko, gdy ustawienie only_joined_can_read ma domyślną wartość '0'.
- CVE-2026-89093Średnie
Wtyczka Better Messages dla WordPressa (wersje do 2.15.33 włącznie) jest podatna na ujawnienie informacji poprzez podszywanie się. Funkcja is_ai_bot_user() identyfikuje uprzywilejowane konta botów AI na podstawie sprawdzenia prefiksu 'ai-chat-bot-' w adresie IP zapisanym dla rekordu gościa, który jest kopiowany bezpośrednio z nagłówka X-Real-IP kontrolowanego przez klienta. Umożliwia to nieuwierzytelnionym atakującym zarejestrowanie tożsamości gościa traktowanej jako wewnętrzny bot AI, obejście filtrów ról i dołączenie do zastrzeżonych pokoi czatu, publikowanie w nich wiadomości oraz czytanie prywatnej historii wiadomości innych użytkowników.
- CVE-2026-16585Wysokie
Wtyczka Better Messages dla WordPressa do wersji 2.15.19 zawiera podatność na usuwanie dowolnych plików w funkcji delete_sticker. Uwierzytelniony atakujący z uprawnieniami administratora może usunąć dowolny plik na serwerze, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'icn' parameter in all versions up to, and including, 2.15.22 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.