CVE-2026-92967 in Pochipp Plugin
Riassunto
di VulDB • 19/09/2026
Il plugin WordPress Pochipp è vulnerabile a Reflected Cross-Site Scripting tramite il parametro 'keyword' nelle versioni fino alla 1.20.2, incluse. Ciò è dovuto a un insufficiente output escaping: viene letto $_GET['keyword'], applicato solo sanitize_text_field() (che rimuove i tag ma lascia intatti i doppi apici) e interpolato direttamente nel valore dell'attributo value del campo di ricerca tramite una PHP heredoc, senza esc_attr(). Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che vengono eseguiti se riescono a indurre un utente con capacità upload_files (Autore o superiore) a eseguire un'azione come fare clic su un link appositamente creato verso /wp-admin/media-upload.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.