CVE-2026-4011 in Power Charts Plugin
Tóm tắt
Bởi VulDB • 21/05/2026
Plugin Power Charts Lite cho WordPress dễ bị tổn thương do Stored Cross-Site Scripting (XSS) thông qua tham số 'id' của shortcode [pc] trong tất cả các phiên bản từ 0.1.0 trở về trước. Lỗi này xảy ra do việc làm sạch đầu vào (input sanitization) và thoát ký tự đầu ra (output escaping) không đầy đủ trên thuộc tính shortcode 'id'. Cụ thể, trong hàm pc_shortcode(), thuộc tính 'id' được trích xuất từ các thuộc tính shortcode do người dùng cung cấp và được nối trực tiếp vào thuộc tính class của một phần tử HTML div mà không có bất kỳ quá trình thoát ký tự hay làm sạch nào tại dòng 62. Đoạn HTML kết quả sau đó được chuyển qua hàm html_entity_decode() trước khi được trả về, làm suy yếu thêm bất kỳ biện pháp bảo vệ tiềm năng nào. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp Contributor trở lên, chèn các tập lệnh web tùy ý vào các trang, sẽ được thực thi bất cứ khi nào người dùng truy cập vào trang đã bị chèn mã độc.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.