CVE-2026-7795

WordPress için geliştirilen Click to Chat – WA Widget eklentisi, 4.38 sürümü dahil tüm önceki sürümlerde [chat] kısa kodu 'num' parametresi üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kullanıcı tarafından sağlanan kısa kod öznitelik değerlerinin, daha sonra HTML olay işleyici özniteliklerine yerleştirilen JavaScript dize sabitleri içine gömülmesi sırasında yetersiz kaçış karakteri kullanımı nedeniyle oluşmaktadır. CCW_Shortcode::shortcode() fonksiyonu, tek tırnakları ' HTML varlığına dönüştüren esc_attr() işlemini 'num' parametresine uygular (satır 157). Varlık olarak kodlanmış bu değer, ardından tek tırnaklarla sınırlandırılmış bir JavaScript window.open() çağrı dizesine doğrudan eklenir (satır 194/221) ve bu tamamlanmış dize, stil şablon dosyalarındaki (örneğin sc-style-1.php satır 6) bir HTML onclick özniteliğine olduğu gibi yerleştirilir. Tarayıcılar, gömülü JavaScript'i yürütmeden önce olay özniteliği değerlerini HTML olarak çözdüğünden, ' varlıkları çalışma zamanında tekrar gerçek tek tırnaklara dönüştürülür; bu da enjekte edilen yükün JavaScript dize bağlamından çıkmasına ve rastgele kod çalıştırmasına olanak tanır. Bu durum, Katılımcı (Contributor) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı [chat] kısa kodu tarafından oluşturulan WhatsApp sohbet düğmesine tıkladığında çalışacak rastgele web betiklerini sayfalara enjekte etmesini mümkün kılar.