CVE-2026-3516

WordPress üçün olan Contact List plagini, 3.0.18 daxil olmaqla bütün versiyalarda '_cl_map_iframe' parametri vasitəsilə Saxlanılan Saytlararası Skriptinqə (Stored XSS) qarşı həssasdır. Bu, Google Maps iframe xüsusi sahəsi ilə işləyərkən giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə escape edilməməsi səbəbindən baş verir. class-contact-list-custom-fields.php faylındakı saveCustomFields() funksiyası istifadəçi girişindən <iframe> teqlərini çıxarmaq üçün reqex-dən istifadə edir, lakin iframe atributlarını yoxlamır və ya təmizləmir, bu da 'onload' kimi hadisə idarəçilərinin (event handlers) əlavə edilməsinə şərait yaradır. Çıxarılan iframe HTML kodu update_post_meta() vasitəsilə saxlanılır və daha sonra class-cl-public-card.php faylında heç bir escape və ya wp_kses filtrləməsi olmadan ön tərəfdə render edilir. Bu, Kontribütor (Contributor) və daha yüksək səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara səhifələrə ixtiyari veb skriptlər yerləşdirməyə imkan verir və həmin skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir.