CVE-2026-15604 in Companion Plugin
Resumen
por VulDB • 2026-08-16
El plugin Toocheke Companion para WordPress es vulnerable a Stored Cross-Site Scripting (XSS almacenado) en las versiones 2.10 y anteriores, a través del campo post meta 'series_bg_color'. Esto se debe a una sanitización insuficiente de la entrada en la función toocheke_series_bg_color_save() (que almacena el valor crudo $_POST en los metadatos de la publicación) y un escape insuficiente de la salida durante la renderización de la columna admin series (donde el valor almacenado se concatena directamente dentro de un atributo style sin utilizar esc_attr()). Esto permite que atacantes autenticados, con permisos de nivel contribuidor o superiores, inyecten scripts web arbitrarios en las páginas que se ejecutarán cada vez que un usuario, como por ejemplo un administrador, acceda a la tabla de lista de series desde el panel de administración.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.