PT-2026-41420 · WordPress · Essential Chat Support

Abhirup Konwar · Publicado 2026-05-16 · Atualizado 2026-05-17 · CVE-2026-8681

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Essential Chat Support versões anteriores a 1.0.2

Descrição O plugin Essential Chat Support para WordPress contém um bypass de autorização. O plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas, permitindo que atacantes não autenticados redefinam todas as configurações de configuração do plugin para os padrões. Isso inclui configurações gerais, regras de exibição, CSS personalizado e configurações da aba WooCommerce. O problema é acionado ao enviar uma requisição POST contendo o parâmetro ecs reset settings=1.

Recomendações Atualize o plugin para uma versão posterior a 1.0.1.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-8681

Produtos afetados

Essential Chat Support

Referências · 9

• https://twitter.com/VulmonFeeds/status/2055513361450668390 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2055867627898126648 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/6b98ea22-4c82-45c6-8e29-75cc9a9185be?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8681 · Nota de Segurança
• https://twitter.com/CVEnew/status/2055866609831493773 · Publicação no Twitter
• https://t.me/CVEtracker/53993 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/essential-chat-support/trunk/includes/ecs-functions.php#L33 · Nota
• https://plugins.trac.wordpress.org/browser/essential-chat-support/trunk/includes/admin/settings/register-settings.php#L47 · Nota
• https://twitter.com/TheRabbitPy/status/2055545761488671029 · Publicação no Twitter