Accessibly <= 3.0.3 - 通过 REST API 的 Widget Source 注入，未授权的存储型跨站脚本 (Stored Cross-Site Scripting)

该 XSS 漏洞利用 REST API 接口 /otm-ac/v1/update-widget-options 和 /otm-ac/v1/update-app-config，这些接口由于 permissioncallback 设置为 returntrue，导致没有进行任何身份验证或授权检查。攻击者可以通过构造恶意的 JSON 数据，利用 updateWidgetOptions() 函数将其传递到 AccessiblyOptions::updateAppConfig()，最终通过 update_option() 函数将其保存到 WordPress 选项表中。成功利用此漏洞，攻击者可以在受害者浏览相关页面时执行任意 JavaScript 代码，窃取 Cookie、重定向用户到恶意网站或篡改页面内容。

Websites using the Accessibly plugin, particularly those running WordPress versions where the plugin is actively used and not regularly updated, are at risk. Shared hosting environments where plugin updates are managed by the hosting provider are also at increased risk if users haven't manually updated the plugin.

• wordpress / composer / npm:

grep -r 'otm-ac/v1/update-widget-options' /var/www/html/wp-content/plugins/accessibly/

• wordpress / composer / npm:

grep -r 'otm-ac/v1/update-app-config' /var/www/html/wp-content/plugins/accessibly/

• wordpress / composer / npm:

wp plugin list --status=active | grep accessibly

• wordpress / composer / npm:

wp plugin update accessibly --all

1. 2026-04-14Disclosure

   disclosure

1. 已保留2026-03-06
2. 发布日期2026-04-14
3. 修改日期2026-04-15
4. EPSS 更新日期2026-04-22

最有效的缓解措施是立即将 Accessibly 插件升级到最新版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：首先，禁用受影响的 REST API 端点 /otm-ac/v1/update-widget-options 和 /otm-ac/v1/update-app-config。其次，使用 Web 应用防火墙 (WAF) 规则来过滤这些 API 接口的请求，阻止包含恶意脚本的输入。最后，定期审查 WordPress 插件的配置，确保其安全性。