CVE-2026-3643

WordPress için geliştirilen Accessibly eklentisi, 3.0.3 sürümü dahil tüm önceki sürümlerde REST API üzerinden Kayıtlı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Eklenti, `/otm-ac/v1/update-widget-options` ve `/otm-ac/v1/update-app-config` konumlarında, `permission_callback` değeri `__return_true` olarak ayarlanmış REST API uç noktaları tanımlamaktadır; bu durum herhangi bir kimlik doğrulama veya yetkilendirme kontrolünün gerçekleştirilmediği anlamına gelir. `AdminApi.php` dosyasındaki `updateWidgetOptions()` fonksiyonu, kullanıcı tarafından sağlanan JSON verilerini kabul eder ve bunları doğrudan `AccessiblyOptions::updateAppConfig()` fonksiyonuna iletir; bu fonksiyon ise verileri herhangi bir temizleme veya doğrulama işlemi yapmadan `update_option()` aracılığıyla WordPress seçenekler tablosuna kaydeder. Kaydedilen `widgetSrc` değeri daha sonra `AssetsManager::enqueueFrontendScripts()` tarafından alınır ve betik URL'si olarak doğrudan `wp_enqueue_script()` fonksiyonuna iletilir, bu da değerin her ön yüz sayfasında bir `<script>` etiketi olarak işlenmesine neden olur. Bu durum, kimliği doğrulanmamış saldırganların `widgetSrc` seçeneğini kötü amaçlı harici bir betiğe yönlendirerek, tüm site ziyaretçileri için çalışan rastgele JavaScript kodları enjekte etmelerini mümkün kılar.