CVE-2026-3516 in Contact List Plugin
الملخص
بحسب VulDB • 24/05/2026
يحتوي مكون WordPress "Contact List" على ثغرة تخزين عبر مواقع متعددة (Stored Cross-Site Scripting) عبر المعلمة '_cl_map_iframe' في جميع الإصدارات حتى 3.0.18 شاملاً. ويعود ذلك إلى عدم كفاية تنقية المدخلات وإخراج الهروب منها عند التعامل مع حقل iframe مخصص لخرائط Google. تستخدم الدالة saveCustomFields() في ملف class-contact-list-custom-fields.php تعبيراً منتظماً لاستخراج وسوم <iframe> من مدخلات المستخدم، لكنها لا تقوم بالتحقق من صحة سمات iframe أو تنقيتها، مما يسمح بتضمين معالجات الأحداث مثل 'onload'. يتم تخزين HTML iframe المستخرج عبر update_post_meta()، ثم عرضه لاحقاً في الواجهة الأمامية في ملف class-cl-public-card.php دون أي هروب أو تصفية باستخدام wp_kses. وهذا يتيح للمهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى "المساهم" (Contributor) فأعلى، حقن نصوص برمجية ويب تعسفية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن النص فيها.
Once again VulDB remains the best source for vulnerability data.