Click to Chat for WhatsApp WordPress-Plugin: Unauthentifizierte Shortcode-Ausführung

Zusammenfassung

Das Plugin Click to Chat for WhatsApp für WordPress (bis und mit Version 4.44) erstellt auf Archivseiten eine Begrüssungsvorlage aus dem Request-URI und übergibt diese ohne Entfernung der Shortcode-Trennzeichen an do_shortcode(). Ein unauthentifizierter Angreifer aus dem Netzwerk kann so beliebige WordPress-Shortcodes ausführen, die vom Core, vom aktiven Theme oder von anderen Plugins registriert sind. Für den Angriff sind weder Anmeldung noch Benutzerinteraktion nötig.

Betroffen

• Click to Chat – HoliThemes (Slug click-to-chat-for-whatsapp), Versionen 0 bis und mit 4.44
• Begrüssungsvorlagen greetings-1 und greetings-2 auf Archivseiten

Behoben in

Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version identifiziert; Plugin-Seite und Changelog auf WordPress.org prüfen.

Umgehung

• Vom Hersteller wurde kein Workaround bereitgestellt.
• Falls die Begrüssungsfunktion nicht benötigt wird, das Plugin bis zur Installation einer korrigierten Version deaktivieren.

Ausnutzung

• Zum letzten Stand ist kein öffentlicher Exploit bekannt.
• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Automatisierbar ja, technische Auswirkung total; Aufnahme im CISA-KEV-Katalog nicht verifiziert.

Unsere Empfehlung

• Alle WordPress-Installationen auf das Plugin Click to Chat und dessen Version prüfen.
• Das Plugin auf Websites deaktivieren, auf denen die Begrüssungsfunktion nicht geschäftskritisch ist.
• Sobald eine korrigierte Version auf WordPress.org bestätigt ist, diese umgehend installieren.
• Webserver-Logs auf ungewöhnliche Anfragen an Archivseiten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Vulnerable code: class-ht-ctc-chat-greetings.php (tag 4.44) plugins.trac.wordpress.org
• Vulnerable code: greetings-1.php (tag 4.44) plugins.trac.wordpress.org
• Trunk changeset r3716433 (greetings-1.php) plugins.trac.wordpress.org
• VulnCheck/Vulners VULNRICHMENT record vulners.com
• Freshysites security bulletin freshysites.com
• GitHub advisory GHSA-4768-hg42-39c5 github.com
• VulDB entry 418972 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:36.