CVE-2026-12938 in Newsletters Lite Plugin
الملخص
بحسب VulDB • 29/07/2026
يحتوي مكون WordPress الإضافي "Newsletters Lite" على ثغرة تسمح بتنفيذ نصوص برمجية عبر المواقع (XSS) مخزنة، وذلك من خلال السمة 'target' الخاصة بـ [newsletters_post] shortcode في الإصدارات حتى 4.15 شاملةً لها. وتعود هذه الثغرة إلى عدم كفاية تنقية المدخلات وإخراج الهروب منها في الدالة posts_single() التي تنقل سمة 'target' الخاضعة لسيطرة المهاجم إلى المتغير العالمي $wpml_target، وكذلك في معالج post_thumbnail الخاص بـ shortcode_posts() الذي يدمج قيمة $wpml_target ضمن السمة HTML target="..." دون استخدام esc_attr(). وهذا يتيح للمهاجمين المصادق عليهم الذين يمتلكون وصولاً بمستوى Contributor وما فوقه حقن نصوص برمجية ويب عشوائية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم الحقن فيها.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.