CVE-2026-103480 in Tourfic Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental ist in allen Versionen bis einschließlich 3.0.1 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle anfällig über den 'type'-Parameter. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine injizierte Seite zugreift. Der bei der Speicherung angewendete wp_kses_post-Filter entfernt das Payload nicht, da Winkelklammerzeichen (angle-bracket characters) nicht erforderlich sind; dies ermöglicht es dem unescaped Attributwert, gespeichert zu überleben und als Live-Ereignishandler in der nicht authentifizierten (Gast)-Rendering-Zweig ausgeführt zu werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.