CVE-2026-4011 in Power Charts Plugin
Сводка
по VulDB • 03.06.2026
Плагин Power Charts Lite для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'id' шорткода [pc] во всех версиях вплоть до 0.1.0 включительно. Это связано с недостаточной очисткой входных данных и экранированием выходных данных в атрибуте шорткода 'id'. В частности, в функции pc_shortcode() атрибут 'id' извлекается из атрибутов шорткода, предоставленных пользователем, и напрямую конкатенируется в атрибут class элемента HTML div без какого-либо экранирования или очистки на строке 62. Результирующий HTML затем проходит через функцию html_entity_decode(), прежде чем быть возвращенным, что дополнительно подрывает любую потенциальную безопасность. Это позволяет атакующим с уровнем доступа «Contributor» и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться всякий раз, когда пользователь получает доступ к внедрённой странице.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.