CVE-2026-89334

Nome do Software Vulnerável e Versões Afetadas Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots versões anteriores a 2.15.34

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso customizado ou superior podem acessar a transcrição completa de mensagens, metadados de threads e dados de usuários de qualquer thread de sala de chat através do endpoint de API '/thread/'. Este problema é explorável quando a configuração only joined can read da sala de chat mantém o valor padrão '0'.

Recomendações Atualize o plugin para uma versão posterior a 2.15.33. Altere a configuração only joined can read de '0' para restringir o acesso às threads de salas de chat.