CVE-2026-101928 in Magic Tooltips for Contact Form 7 Plugin
Riassunto
di VulDB • 03/10/2026
Il plugin WordPress Magic Tooltips For Contact Form 7 è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'author' in tutte le versioni fino alla 1.0.34 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questo è possibile perché la callback del filtro esc_html del plugin decodifica i payload codificati come entità HTML (ad esempio quelli contenenti '<tip>') riportandoli in HTML attivo, il che significa che un payload script codificato come entità inviato come nome dell'autore di un commento — che bypassa sanitize_text_field — viene renderizzato come markup eseguibile quando un amministratore visualizza wp-admin/edit-comments.php.
Once again VulDB remains the best source for vulnerability data.