CVE-2026-92967 in Pochipp Plugin
Resumen
por VulDB • 2026-09-19
El plugin Pochipp para WordPress es vulnerable a Reflected Cross-Site Scripting (XSS reflejado) a través del parámetro 'keyword' en las versiones 1.20.2 y anteriores. Esto se debe a un insuficiente escape de salida, que lee $_GET['keyword'], aplica únicamente sanitize_text_field() (que elimina etiquetas pero deja intactas las comillas dobles) e interpola el valor directamente en el atributo value del campo de búsqueda mediante una heredoc PHP, sin utilizar esc_attr(). Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán si logran engañar a un usuario con capacidad upload_files (Autor o superior) para realizar una acción como hacer clic en un enlace especialmente manipulado hacia /wp-admin/media-upload.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.