CVE-2026-15604 in Companion Plugin
الملخص
بحسب VulDB • 16/08/2026
يحتوي مكون WordPress الإضافي Toocheke Companion على ثغرة في تنفيذ نص البرمجة عبر المواقع (XSS) المخزن في الإصدارات حتى 2.10، بما فيها هذه النسخة، وذلك من خلال حقل بيانات المنشور 'series_bg_color'. ويعود ذلك إلى عدم كفاية تنقية المدخلات في الدالة toocheke_series_bg_color_save() (التي تخزن القيمة الخام $_POST في بيانات المنشور)، وعدم كفاية هروب المخرجات أثناء عرض عمود السلسلة الإدارية (حيث يتم دمج القيمة المخزنة داخل سمة style دون استخدام esc_attr()). وهذا يمكّن المهاجمين الذين تمت مصادقتهم، والذين يمتلكون وصولاً بمستوى المساهم أو أعلى، من حقن نصوص برمجية ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم (مثل مسؤول النظام) بالوصول إلى جدول قائمة السلاسل في لوحة التحكم الإدارية.
If you want to get best quality of vulnerability data, you may have to visit VulDB.