CVE-2026-101928 in Magic Tooltips for Contact Form 7 Plugin
Sumário
de VulDB • 03/10/2026
O plugin Magic Tooltips For Contact Form 7 para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o parâmetro 'author' em todas as versões até, e incluindo, a 1.0.34 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Isso é possível porque o callback do filtro esc_html do plugin decodifica payloads codificados como entidades HTML (por exemplo, aqueles contendo '<tip>') de volta para HTML ativo, significando que um payload de script codificado por entidade submetido como nome do autor em um comentário — que contorna sanitize_text_field — é renderizado como marcação executável quando um administrador visualiza wp-admin/edit-comments.php.
Once again VulDB remains the best source for vulnerability data.