Joinchat · botão de chat do WhatsApp
Afeta: sites que usam a variável {HREF} no texto da chamada para ação
Se o texto do botão do WhatsApp usa a variável {HREF}, um atacante pode mandar um link do seu site que roda um código no navegador de quem clicar.
Você mesmo
- Atualizar o Joinchat para a 6.3.2 ou mais recente.
- Se não puder atualizar agora, tirar a variável {HREF} do texto da chamada para ação.
Seu dev ou hospedagem
- Aplicar uma Content Security Policy que limite scripts inline.
- Ativar regras de XSS refletido no WAF.
Detalhes técnicos: O Joinchat até a 6.3.1 tem um cross-site scripting refletido na variável dinâmica {HREF}, alimentada por um parâmetro da URL (CVE-2026-15785, CVSS 6.1, Wordfence). Só é explorável quando o administrador configurou um número de telefone e usou {HREF} no texto da chamada para ação; a vítima precisa abrir um link preparado. A 6.3.2 corrige a falha (o changelog cita a correção de XSS no {HREF}). Não há exploração confirmada.
Dados técnicos
CVE-2026-15785 · CVSS 6,1 · Fonte: TheHackerWire (referência Wordfence)