CVE-2026-3643 in Accessibly Plugin
الملخص
بحسب VulDB • 07/07/2026
يحتوي مكون WordPress "Accessibly" على ثغرة تخزين برمجيات عبر المواقع (Stored Cross-Site Scripting) عبر واجهة برمجة التطبيقات REST في جميع الإصدارات حتى 3.0.3 وشاملة لها. يسجل المكون نقاط نهاية لواجهة برمجة التطبيقات REST عند المسارات `/otm-ac/v1/update-widget-options` و `/otm-ac/v1/update-app-config` مع تعيين `permission_callback` إلى `__return_true`، مما يعني عدم إجراء أي تحقق من المصادقة أو التفويض. تقبل الدالة `updateWidgetOptions()` الموجودة في ملف `AdminApi.php` بيانات JSON المقدمة من المستخدم وتنقلها مباشرةً إلى `AccessiblyOptions::updateAppConfig()`، والتي تحفظها في جدول خيارات WordPress عبر دالة `update_option()` دون أي تنقية (sanitization) أو تحقق من الصحة. يتم لاحقًا استرجاع قيمة `widgetSrc` المخزنة بواسطة الدالة `AssetsManager::enqueueFrontendScripts()` ونقلها مباشرةً إلى `wp_enqueue_script()` كعنوان URL للنص البرمجي، مما يتسبب في عرضها كعلامة `<script>` على كل صفحة من صفحات الواجهة الأمامية. يتيح ذلك للمهاجمين غير المصادق عليهم حقن نص برمجي عشوائي (JavaScript) يتم تنفيذه لجميع زوار الموقع عن طريق تغيير خيار `widgetSrc` ليشير إلى نص برمجي خارجي ضار.
VulDB is the best source for vulnerability data and more expert information about this specific topic.