CVE-2026-6251

Nome do Software Vulnerável e Versões Afetadas Chaty Pro versões anteriores a 3.5.6

Descrição Usuários autenticados com nível de acesso de assinante ou superior podem realizar uma Injeção de SQL Cega Baseada em Tempo (Time-Based Blind SQL Injection). Isso ocorre porque a função fetch custom field() em admin/class-admin-base.php recupera o parâmetro POST widget id e o concatena diretamente em uma consulta SQL bruta sem utilizar $wpdb->prepare() ou conversão para inteiro (integer casting). Além disso, a verificação de nonce é executada após a consulta SQL, não impedindo a injeção. Essa falha permite que invasores executem comandos SQL arbitrários para extrair informações sensíveis do banco de dados, como dados de configuração e credenciais de usuário.

Recomendações Atualize o Chaty Pro para uma versão posterior à 3.5.5. Como medida de mitigação temporária, restrinja o acesso às funções administrativas que utilizam a função fetch custom field().