CVE-2026-3516: Authenticated Stored Cross-Site Scripting (XSS) im Contact List Plugin

Haftungsausschluss: Dieses Repository dient ausschließlich zu Bildungszwecken und zur ethischen Offenlegung. Die Schwachstelle wurde verantwortungsvoll an den Anbieter gemeldet und behoben. Verwenden Sie diese Informationen nicht, um Systeme ohne entsprechende Autorisierung auszunutzen.

Zusammenfassung

Eine Stored Cross-Site Scripting (XSS)-Schwachstelle wurde im Contact List - Online Staff Directory & Address Book-Plugin für WordPress (Versionen <= 3.0.17) entdeckt. Diese Schwachstelle erlaubt es authentifizierten Benutzern mit Autor-Rechten oder höher, bösartigen JavaScript-Code über ein verstecktes benutzerdefiniertes Feld in Kontaktkarten einzuschleusen.

Wenn die Kontaktkarte im öffentlichen Verzeichnis gerendert wird, führt die eingeschleuste Payload im Browser jedes Besuchers aus. Falls ein Administrator die Seite aufruft, kann dieser Fehler zu einer vollständigen Account-Übernahme (ATO) und einer Kompromittierung der Website eskalieren.

Übersicht der Schwachstelle

• CVE-ID: CVE-2026-3516
• Produkt: Contact List (WordPress-Plugin)
• Betroffene Versionen: <= 3.0.17
• Schwachstellentyp: Stored Cross-Site Scripting (XSS) (CWE-79)
• Erforderliche Berechtigungen: Authentifiziert (Autor oder höher)

Technische Tiefenbohrung & Ursache

Die Schwachstelle rührt von unzureichender Bereinigung und unsicherer Ausgabe des benutzerdefinierten Feldes _cl_map_iframe her, das zum Einbetten von Karten-Iframes vorgesehen ist.

1. Unsichere Datenspeicherung: In includes/class-contact-list-custom-fields.php (in saveCustomFields()) verarbeitet das Plugin die Eingabe von _cl_map_iframe mit einem regulären Ausdruck, um einen `` 6. Leiten Sie die Anfrage weiter. Der Server speichert das bösartige iframe. 7. Auslösen: Besuchen Sie die öffentliche Verzeichnisseite, auf der [contact_list] eingebettet ist. Das Alert-Fenster wird sofort ausgelöst, was die Codeausführung bestätigt.

Beispiel einer bösartigen HTTP-Anfrage

POST /wp-admin/post.php HTTP/1.1
Host: TARGET
Content-Type: application/x-www-form-urlencoded
Cookie: [Author_Session_Cookies]

post_title=Hacked+Contact&post_type=contact&action=editpost&_cl_map_iframe=

Abhilfe

Um diese Schwachstelle zu beheben, müssen die Plugin-Entwickler Folgendes tun:

1. Eingabe bereinigen: Verwenden Sie wp_kses() mit einem strengen Array erlaubter HTML-Tags und -Attribute beim Speichern von _cl_map_iframe. Verbieten Sie Attribute wie onload, onerror oder javascript:-URIs.
2. Ausgabe escapen: Stellen Sie sicher, dass alle benutzergenerierten Daten, die aus der Datenbank abgerufen werden, ordnungsgemäß escaped werden, bevor sie in das DOM gerendert werden.

Zeitplan

• Datum (2026-03-03): Gemeldet an Wordfence.
• Datum (2026-03-20): Schwachstelle behoben / Öffentliche Offenlegung.

Referenzen & Danksagungen

• Wordfence Vulnerability Database
• CVE-2026-3516 auf NVD
• Contact List Plugin auf WordPress.org