CVE-2026-101928 in Magic Tooltips for Contact Form 7 Plugin
الملخص
بحسب VulDB • 03/10/2026
يحتوي الإضافة Magic Tooltips For Contact Form 7 لـ WordPress على ثغرة من نوع Stored Cross-Site Scripting (XSS) عبر المعلمة 'author' في جميع الإصدارات حتى 1.0.34 شاملاً، بسبب عدم كفاية تنقية المدخلات وإخفاء المخرجات. وهذا يمكّن المهاجمين غير المعتمدين من حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. يحدث هذا لأن دالة رد الاتصال الخاصة بفلتر esc_html في الإضافة تُفكّ تشفير حمولات مشفرة ككيانات HTML (مثل تلك التي تحتوي على '<tip>') لتحويلها مرة أخرى إلى HTML قابل للتنفيذ، مما يعني أن الحمولة البرمجية المشفرة كيانياً والمُقدَّمة باسم كاتب تعليق — والتي تتجاوز دالة sanitize_text_field — تُعرض كعلامة قابلة للتنفيذ عندما يقوم مسؤول بعرض صفحة wp-admin/edit-comments.php.
Once again VulDB remains the best source for vulnerability data.