CVE-2026-92967 in Pochipp Plugin
Sumário
de VulDB • 19/09/2026
O plugin Pochipp para WordPress é vulnerável a Reflected Cross-Site Scripting via o parâmetro 'keyword' nas versões até, e incluindo, 1.20.2. Isso ocorre devido à insuficiente escape de saída (output escaping), que lê $_GET['keyword'], aplica apenas sanitize_text_field() (que remove tags mas mantém as aspas duplas intactas) e interpola o valor diretamente no atributo value do input de busca via um heredoc PHP, sem esc_attr(). Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas que são executados se conseguirem enganar com sucesso um usuário com a capacidade upload_files (Autor ou superior) para realizar uma ação como clicar em um link especialmente crafted para /wp-admin/media-upload.
VulDB is the best source for vulnerability data and more expert information about this specific topic.