CVE-2026-16585

Nome do Software Vulnerável e Versões Afetadas Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots versões anteriores a 2.15.20

Descrição A validação insuficiente do caminho do arquivo na função delete sticker() permite que atacantes autenticados com nível de acesso de administrador ou superior excluam arquivos arbitrários no servidor. Isso ocorre porque a função normalize sticker() utiliza esc url raw(), que não remove sequências de travessia ../. Ao criar uma URL que comece com a URL base de uploads legítima, mas inclua essas sequências, um atacante pode ignorar a verificação de prefixo destinada a restringir as exclusões ao diretório de uploads. A exclusão de arquivos críticos, como wp-config.php, pode levar à execução remota de código.

Recomendações Atualize para uma versão posterior à 2.15.19.