CVE-2026-3643 in Accessibly Plugin
要約
〜によって VulDB • 2026年07月19日
WordPress用プラグイン「Accessibly」には、3.0.3を含むすべてのバージョンにおいて、REST APIを介した格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。このプラグインは、`permission_callback`が`__return_true`に設定されているため、認証や認可チェックが行われず、エンドポイント `/otm-ac/v1/update-widget-options` および `/otm-ac/v1/update-app-config` をREST APIとして登録しています。
`AdminApi.php`内の `updateWidgetOptions()` 関数はユーザー入力のJSONデータを受け取り、それをサニタイズや検証を行わずに直接 `AccessiblyOptions::updateAppConfig()` に渡します。これにより、WordPressのオプションテーブルへ `update_option()` を介して保存されます。
その後、格納された `widgetSrc` の値は `AssetsManager::enqueueFrontendScripts()` によって取得され、スクリプトURLとしてそのまま `wp_enqueue_script()` に渡されるため、すべてのフロントエンドページで `<script>` タグとしてレンダリングされます。これにより、攻撃者は認証なしに任意のJavaScriptを注入でき、`widgetSrc` オプションを悪意のある外部スクリプトへの参照に変更することで、サイト訪問者全員に対してそのコードを実行させることが可能になります。
Be aware that VulDB is the high quality source for vulnerability data.