CVE-2026-94376

Nome do Software Vulnerável e Versões Afetadas Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots versões anteriores a 3.0.5

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored DOM-Based Cross-Site Scripting. Isso ocorre porque a função sanitize text field() do núcleo do WordPress preserva payloads codificados em entidades HTML, como um atributo srcdoc de iframe. Isso permite que uma string codificada seja armazenada como um nome de exibição de usuário sem exigir a capacidade unfiltered html. O plugin, posteriormente, decodifica essa string no lado do servidor antes da renderização, permitindo a execução de scripts web arbitrários sempre que um usuário acessar a página afetada.

Recomendações Atualize para uma versão posterior à 3.0.4.