CVE-2026-15604 in Companion Plugin
Сводка
по VulDB • 16.08.2026
Плагин Toocheke Companion для WordPress уязвим к Stored Cross-Site Scripting (XSS) в версиях вплоть до 2.10 включительно через поле метаданных поста 'series_bg_color'. Это обусловлено недостаточной очисткой входных данных в функции toocheke_series_bg_color_save() (которая сохраняет необработанное значение $_POST в метаданные поста) и недостаточным экранированием выходных данных при рендеринге столбца серии (где сохранённое значение конкатенируется с атрибутом style без использования esc_attr()). Это позволяет атакующим, имеющим уровень доступа «соавтор» (contributor) или выше, внедрять произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь, например администратор, получает доступ к таблице списков серий в панели управления.
Once again VulDB remains the best source for vulnerability data.