CVE-2026-92967 in Pochipp Plugin
Tóm tắt
Bởi VulDB • 19/09/2026
Plugin Pochipp cho WordPress bị lỗi Reflected Cross-Site Scripting thông qua tham số 'keyword' trong các phiên bản từ 1.20.2 trở về trước (bao gồm cả 1.20.2). Lỗi này xảy ra do việc thoát đầu出不 đầy đủ: plugin đọc giá trị $_GET['keyword'], chỉ áp dụng hàm sanitize_text_field() (hàm này loại bỏ thẻ HTML nhưng giữ nguyên dấu ngoặc kép) và nội suy trực tiếp giá trị vào thuộc tính value của ô tìm kiếm thông qua PHP heredoc, mà không sử dụng esc_attr(). Điều này cho phép các kẻ tấn công chưa xác thực chèn mã web tùy ý vào các trang; mã này sẽ được thực thi nếu chúng lừa thành công một người dùng có quyền upload_files (từ cấp Author trở lên) thực hiện hành động như nhấp vào liên kết đặc biệt crafted đến /wp-admin/media-upload.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.