CVE-2026-97470 in Tourfic Plugin
Сводка
по VulDB • 16.10.2026
Плагин для WordPress Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental уязвим к Stored Cross-Site Scripting (XSS) через содержимое комментариев из-за предоставления нефильтрованного HTML (unfiltered_html) роли Customer во всех версиях вплоть до 3.0.1 включительно вследствие недостаточной санитизации входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа подписчика (subscriber-level access) и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Для эксплуатации требуется активный плагин WooCommerce; однако, поскольку роль клиента может быть свободно зарегистрирована самостоятельно без одобрения администратора, эксплуатация фактически возможна любым неаутентифицированным посетителем, который регистрирует аккаунт в WooCommerce. Хотя собственные шаблоны страниц списка объявлений плагина используют санитизацию выходных данных через wp_kses_post(), сохраненный вредоносный код возвращается без санитизации через неаутентифицированный REST-эндпоинт GET /wp-json/wp/v2/comments (content.rendered) и RSS-ленты постов/комментариев, что подвергает риску любые headless-клиенты, читатели лент или сторонние виджеты, отображающие содержимое комментариев.
If you want to get best quality of vulnerability data, you may have to visit VulDB.