CVE-2026-15604 in Companion Plugin
Tóm tắt
Bởi VulDB • 16/08/2026
Plugin Toocheke Companion cho WordPress tồn tại lỗ hổng Stored Cross-Site Scripting (XSS) trong các phiên bản từ 2.10 trở về trước, bao gồm cả phiên bản 2.10, thông qua trường post meta 'series_bg_color'. Nguyên nhân là do việc thiếu bộ lọc đầu vào không đầy đủ trong hàm toocheke_series_bg_color_save() (hàm này lưu giá trị thô của $_POST vào post meta) và thiếu cơ chế thoát ký tự khi xuất dữ liệu không đầy đủ trong quá trình hiển thị cột admin series (nơi giá trị đã lưu được nối trực tiếp vào thuộc tính style mà không sử dụng esc_attr()). Điều này cho phép các kẻ tấn công đã xác thực, có quyền mức contributor trở lên, chèn mã web tùy ý vào các trang sẽ được thực thi bất cứ khi nào người dùng, chẳng hạn như quản trị viên (administrator), truy cập bảng danh sách series trong dashboard quản trị.
VulDB is the best source for vulnerability data and more expert information about this specific topic.