CVE-2026-3643

WordPress üçün Accessibly plagini 3.0.3 daxil olmaqla bütün versiyalarda REST API vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Plagin `/otm-ac/v1/update-widget-options` və `/otm-ac/v1/update-app-config` ünvanlarında REST API son nöqtələrini (endpoints) qeydiyyatdan keçirir və burada `permission_callback` parametri `__return_true` olaraq təyin edilib, bu isə heç bir autentifikasiya və ya avtorizasiya yoxlamasının aparılmadığı anlamına gəlir. `AdminApi.php` faylındakı `updateWidgetOptions()` funksiyası istifadəçi tərəfindən təmin edilən JSON məlumatlarını qəbul edir və onları birbaşa `AccessiblyOptions::updateAppConfig()` funksiyasına ötürür; həmin funksiya isə məlumatları heç bir təmizləmə (sanitization) və ya validasiya olmadan `update_option()` vasitəsilə WordPress seçimlər cədvəlinə yazır. Saxlanılan `widgetSrc` dəyəri daha sonra `AssetsManager::enqueueFrontendScripts()` tərəfindən götürülür və skript URL-i kimi birbaşa `wp_enqueue_script()` funksiyasına ötürülür ki, bu da onun hər bir ön sahə səhifəsində `<script>` teqi kimi render olunmasına səbəb olur. Bu, autentifikasiya olunmamış hücumçuların `widgetSrc` seçimini zərərli xarici skriptə yönləndirməklə, bütün sayt ziyarətçiləri üçün icra olunan ixtiyari JavaScript kodlarının yerləşdirilməsini mümkün edir.