Click to Chat 插件超危漏洞预警（CVE-2026-92097）

漏洞速览

• 漏洞编号：CVE-2026-92097
• 风险评分：9.1（严重）
• 首次披露：2026-10-13
• 最近更新：2026-10-13
• 软件类型：插件
• 软件标识：click-to-chat-for-whatsapp
• 受影响版本：<= 4.44
• 修复版本：4.45
• 是否已修复：是

漏洞详情

WordPress的“Click to Chat for WhatsApp”插件在最高至4.44（含）版本中存在任意短代码执行漏洞。该漏洞源于greetings_dialog()函数在归档页面上使用经sanitize_text_field()过滤的$_SERVER['REQUEST_URI']构建{url}模板占位符，随后在greetings‑1和greetings‑2模板中把替换后的问候内容直接传给do_shortcode()，而未去除短代码分隔符。由于在{url}替换之前wp_kses()已对main_content进行处理，攻击者可控制的URL字节未被过滤直接进入do_shortcode()。因此，未授权攻击者能够执行WordPress核心、当前主题或其他插件注册的任意短代码。

影响与风险

• 漏洞类型：Unauthenticated Arbitrary Shortcode Execution via REQUEST_URI via {url} Placeholder
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Kuba

修复建议

1. 按官方建议执行修复：更新至 4.45 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录