CVE-2026-3516 in Contact List Plugin
Zusammenfassung
von VulDB • 01.06.2026
Das Contact List-Plugin für WordPress ist in allen Versionen bis einschließlich 3.0.18 anfällig für Stored Cross-Site Scripting (XSS) über den Parameter '_cl_map_iframe'. Dies ist auf eine unzureichende Bereinigung der Eingabe und das Fehlen von Output-Escaping bei der Verarbeitung des benutzerdefinierten Felds für Google Maps Iframes zurückzuführen. Die Funktion saveCustomFields() in class-contact-list-custom-fields.php verwendet einen regulären Ausdruck, um <iframe>-Tags aus Benutzereingaben zu extrahieren, validiert oder bereinigt jedoch die Attribute des Iframes nicht, wodurch Ereignishandler wie 'onload' eingefügt werden können. Der extrahierte iframe-HTML-Code wird über update_post_meta() gespeichert und später in class-cl-public-card.php auf der Frontend-Seite ohne jegliches Escaping oder wp_kses-Filterung gerendert. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Rechten oder höher, beliebige Web-Skripte in Seiten einzuschleusen, die ausgeführt werden, sobald ein Benutzer die infizierte Seite aufruft.
VulDB is the best source for vulnerability data and more expert information about this specific topic.