V populárním pluginu Click to Chat – HoliThemes byla identifikována bezpečnostní zranitelnost umožňující nepřihlášenému útočníkovi spouštět libovolné shortcody registrované ve WordPressu.
Plugin slouží k integraci WhatsApp komunikace do webových stránek a podle WordPress.org má více než 600 000 aktivních instalací.
Mechanismus zneužití
Problém se nachází ve funkci greetings_dialog(), která zpracovává obsah uvítacího dialogu.
Zranitelnost souvisí se zpracováním proměnné:
$_SERVER['REQUEST_URI']
a zástupného symbolu:
{url}
Plugin nejprve provádí bezpečnostní filtraci obsahu pomocí wp_kses(), ale následně do již filtrovaného textu vkládá hodnotu URL.
Útočníkem ovlivnitelná URL tak může obsahovat zápis shortcodu, který se následně dostane do funkce do_shortcode() bez odpovídajícího zabezpečení.
Útočník může prostřednictvím speciálně vytvořené URL přimět WordPress ke spuštění shortcodů registrovaných jádrem, aktivní šablonou nebo dalšími pluginy.
Podmínky zneužití
Zranitelnost se týká zejména archivních stránek, například výpisů kategorií nebo štítků.
Pro úspěšné zneužití musí být aktivní dotčený uvítací dialog a jeho obsah musí využívat zástupný symbol {url}.
Útok nevyžaduje přihlášení do WordPressu.
Možné následky
Skutečný dopad závisí na shortcodech dostupných v konkrétní instalaci.
Útočník může za určitých podmínek vyvolat funkce, které nebyly určeny k veřejnému spuštění.
Pokud některý z registrovaných shortcodů umožňuje provádět citlivé operace bez dalšího ověřování oprávnění, může dojít k neoprávněnému přístupu k informacím nebo změnám obsahu.
Samotná zranitelnost automaticky neznamená možnost spouštění libovolného PHP kódu. Takový následek závisí na funkcích dalších dostupných shortcodů.
Hodnocení závažnosti
CVSS: 9.1/10 – Kritická 🔴 (Wordfence)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Patchstack hodnotí stejnou zranitelnost nižším skóre 5.3/10 a střední provozní prioritou.
Rozdíl vyplývá z posuzování možných následků a podmínek zneužití.
K 15. říjnu 2026 nebylo potvrzeno aktivní zneužívání této konkrétní zranitelnosti.
Dostupnost bezpečnostní opravy
Zranitelnost byla opravena ve verzi 4.45.
Oprava mění způsob zpracování shortcodů a dynamických zástupných symbolů v uvítacím dialogu.
Aktualizace je dostupná prostřednictvím oficiálního repozitáře WordPress.org.
Doporučené kroky
- Doporučujeme aktualizovat Click to Chat minimálně na verzi 4.45.
- U webů, které provozovaly postižené verze, doporučujeme prověřit konfiguraci uvítacích dialogů Greetings-1 a Greetings-2.
- Je vhodné zkontrolovat používání zástupného symbolu
{url} v obsahu těchto dialogů.
- Doporučujeme prověřit serverové logy a případné neobvyklé požadavky obsahující zápisy WordPress shortcodů v URL.
- Je vhodné prověřit vlastní shortcody registrované šablonou nebo dalšími pluginy, zejména pokud umožňují provádění citlivých operací.
- Pokud aktualizace není okamžitě možná, doporučujeme dočasně deaktivovat dotčené uvítací dialogy nebo celý plugin.
- Při podezření na kompromitaci doporučujeme prověřit neoprávněné změny obsahu, uživatelských oprávnění a konfigurace WordPressu.
Zdroj: https://www.wordfence.com/threat-intel/vulnerabilities/id/cf625e34-1f51-42a3-8daa-a5188dea226e
