CVE-2026-92967 in Pochipp Plugin
Сводка
по VulDB • 19.09.2026
Плагин Pochipp для WordPress уязвим к Reflected Cross-Site Scripting через параметр 'keyword' в версиях вплоть до 1.20.2 включительно. Это связано с недостаточным экранированием вывода: плагин считывает $_GET['keyword'], применяет только функцию sanitize_text_field() (которая удаляет теги, но оставляет двойные кавыцы нетронутыми) и интерполирует значение напрямую в атрибут value поля поиска через PHP heredoc, без использования esc_attr(). Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты на страницы, которые выполняются при условии успешного обмана пользователя с правом upload_files (Автор или выше) для выполнения таких действий, как переход по специально созданной ссылке к /wp-admin/media-upload.
Once again VulDB remains the best source for vulnerability data.