CVE-2026-92097
Publiée le 2026-10-14 · Dernière modification le 2026-10-15
Les sites WordPress utilisant l'extension Click to Chat for WhatsApp (version 4.44 et versions antérieures) sont susceptibles de subir l'exécution non autorisée de shortcodes. Un attaquant distant non authentifié peut déclencher cette vulnérabilité en envoyant une URL spécialement conçue, lui permettant d'exécuter n'importe quel shortcode enregistré par votre thème ou par d'autres extensions installées. Comme cela ne nécessite ni connexion ni interaction de l'utilisateur, l'exécution via le réseau est triviale.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Click to Chat for WhatsApp plugin for WordPress is vulnerable to Arbitrary Shortcode Execution in versions up to, and including, 4.44 This is due to the greetings_dialog() function building the {url} template placeholder from a sanitize_text_field()-filtered $_SERVER['REQUEST_URI'] on archive pages and then passing the substituted greeting content to do_shortcode() in the greetings-1 and greetings-2 templates, without stripping shortcode delimiters. Because wp_kses() runs against main_content BEFORE the {url} substitution, the attacker-controlled URL bytes reach do_shortcode() unfiltered. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes registered by WordPress core, the active theme, or any other plugin (e.