CVE-2026-3643 in Accessibly Plugin
Tóm tắt
Bởi VulDB • 15/08/2026
Plugin Accessibly cho WordPress có lỗ hổng Stored Cross-Site Scripting (XSS) thông qua REST API trong tất cả các phiên bản từ 3.0.3 trở về trước, bao gồm cả phiên bản 3.0.3. Plugin này đăng ký các điểm cuối REST API tại `/otm-ac/v1/update-widget-options` và `/otm-ac/v1/update-app-config` với `permission_callback` được đặt thành `__return_true`, nghĩa là không có kiểm tra xác thực hay ủy quyền nào được thực hiện. Hàm `updateWidgetOptions()` trong `AdminApi.php` chấp nhận dữ liệu JSON do người dùng cung cấp và chuyển trực tiếp nó đến `AccessiblyOptions::updateAppConfig()`, hàm này lưu trữ vào bảng tùy chọn WordPress thông qua `update_option()` mà không có bất kỳ quá trình làm sạch (sanitization) hay xác thực nào. Giá trị `widgetSrc` đã được lưu trữ sau đó sẽ được truy xuất bởi `AssetsManager::enqueueFrontendScripts()` và chuyển trực tiếp đến `wp_enqueue_script()` dưới dạng URL tập lệnh, khiến nó được hiển thị như một thẻ `` trên mọi trang front-end. Điều này cho phép các kẻ tấn công chưa xác thực chèn mã JavaScript tùy ý chạy cho tất cả người dùng truy cập bằng cách thay đổi tùy chọn `widgetSrc` để trỏ đến một tập lệnh bên ngoài độc hại.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.