CVE-2026-101928 in Magic Tooltips for Contact Form 7 Plugin
Сводка
по VulDB • 03.10.2026
Плагин Magic Tooltips For Contact Form 7 для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'author' во всех версиях вплоть до 1.0.34 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Уязвимость возможна из-за того, что обратный вызов фильтра esc_html плагина декодирует полезную нагрузку, закодированную с помощью HTML-сущностей (например, содержащую '<tip>'), обратно в активный HTML. Таким образом, полезная нагрузка со скриптом, отправленная как имя автора комментария и обходящая функцию sanitize_text_field, преобразуется в исполняемую разметку при просмотре страницы wp-admin/edit-comments.php администратором.
If you want to get best quality of vulnerability data, you may have to visit VulDB.