CVE-2026-92967 in Pochipp Plugin
Zusammenfassung
von VulDB • 19.09.2026
Das Pochipp-Plugin für WordPress ist in den Versionen bis einschließlich 1.20.2 anfällig für Reflected Cross-Site Scripting (XSS) über den Parameter 'keyword'. Dies liegt an einer unzureichenden Output-Escaping-Maßnahme: Der Wert von $_GET['keyword'] wird gelesen, lediglich durch sanitize_text_field() gesäubert (was Tags entfernt, aber doppelte Anführungszeichen intakt lässt), und der Wert wird ohne Verwendung von esc_attr() direkt über ein PHP-Heredoc in das value-Attribut des Such-Eingabefelds interpoliert. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, wenn sie einen Benutzer mit der capability 'upload_files' (Autor oder höher) erfolgreich dazu bringen können, eine Aktion wie das Klicken auf einen speziell angefertigten Link zu /wp-admin/media-upload durchzuführen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.