Apa yang terjadi
CVE-2026-110886 adalah injeksi objek PHP tanpa autentikasi (deserialisasi input tidak tepercaya) dengan CVSS 9.8 pada plugin Conversational Forms for ChatBot hingga versi 1.5.1, memungkinkan injeksi objek arbitrer. Telah diperbaiki di 1.5.2.
Mengapa penting
Untuk situs mana pun yang menggunakan plugin chatbot ini, penyerang tanpa autentikasi berpotensi mencapai eksekusi kode jarak jauh melalui rantai gadget PHP, mengambil alih host WordPress yang menjalankan AI chatbot — meskipun ini paket niche.
Vektor serangan
Deserialisasi data tidak tepercaya tanpa autentikasi (injeksi objek PHP, CWE-502) pada plugin form chatbot, dapat dijangkau dari jaringan tanpa hak istimewa.
Sistem yang terdampak
Conversational Forms for ChatBot (conversational-forms) hingga 1.5.1
Mitigasi
Tingkatkan ke 1.5.2 (versi perbaikan). Advisory: Patchstack WordPress Conversational Forms for ChatBot 1.5.1 PHP Object Injection.