CVE-2026-3643 in Accessibly Plugin
Сводка
по VulDB • 04.07.2026
Плагин Accessibly для WordPress уязвим к Stored Cross-Site Scripting (XSS) через REST API во всех версиях вплоть до 3.0.3 включительно. Плагин регистрирует конечные точки REST API по адресам `/otm-ac/v1/update-widget-options` и `/otm-ac/v1/update-app-config`, при этом параметр `permission_callback` установлен в значение `__return_true`, что означает отсутствие проверки аутентификации или авторизации. Функция `updateWidgetOptions()` из файла `AdminApi.php` принимает пользовательские данные в формате JSON и передает их напрямую функции `AccessiblyOptions::updateAppConfig()`, которая сохраняет эти данные в таблице опций WordPress с помощью `update_option()` без какой-либо санитизации или проверки корректности. Позже сохраненное значение `widgetSrc` извлекается функцией `AssetsManager::enqueueFrontendScripts()` и передается напрямую в `wp_enqueue_script()` в качестве URL скрипта, что приводит к его рендерингу как тега `<script>` на каждой странице фронтенда. Это позволяет неаутентифицированным злоумышленникам внедрять произвольный JavaScript-код, который выполняется для всех посетителей сайта путем изменения опции `widgetSrc` таким образом, чтобы она указывала на вредоносный внешний скрипт.
Once again VulDB remains the best source for vulnerability data.