CVE-2026-3643 in Accessibly Plugin
Sumário
de VulDB • 14/08/2026
O plugin Accessibly para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via REST API em todas as versões até, e incluindo, 3.0.3. O plugin registra endpoints da REST API em `/otm-ac/v1/update-widget-options` e `/otm-ac/v1/update-app-config`, com o `permission_callback` definido como `__return_true`, o que significa que nenhuma verificação de autenticação ou autorização é realizada. A função `updateWidgetOptions()` no arquivo `AdminApi.php` aceita dados JSON fornecidos pelo usuário e os passa diretamente para `AccessiblyOptions::updateAppConfig()`, que os salva na tabela de opções do WordPress por meio de `update_option()` sem qualquer sanitização ou validação. O valor armazenado em `widgetSrc` é posteriormente recuperado por `AssetsManager::enqueueFrontendScripts()` e passado diretamente para `wp_enqueue_script()` como a URL do script, fazendo com que seja renderizado como uma tag `<script>` em todas as páginas front-end. Isso permite que atacantes não autenticados injetem JavaScript arbitrário que será executado para todos os visitantes do site ao alterar a opção `widgetSrc` para apontar para um script externo malicioso.
If you want to get best quality of vulnerability data, you may have to visit VulDB.