CVE-2026-87764: falha de alta gravidade em BuddyPress Instant Chat
BuddyPress Instant Chat <= 1.6 - Unauthenticated Stored XSS via Chat Message
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 8.8epss 0.3%
The BuddyPress Instant Chat WordPress plugin through 1.6 does not check that the sender of a chat message belongs to the conversation it is being added to, nor does it escape message content before outputting it back, allowing unauthenticated users to store arbitrary web scripts that will execute in the session of any member who later views that conversation.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
Unknown · BuddyPress Instant ChatPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/4c8836ae-5a1f-48ca-96fd-50a85e014cf6/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.