CVE-2026-96566 in The Newsletter Plugin
الملخص
بحسب VulDB • 02/10/2026
يُعدّ الإضافة "The Newsletter – Send awesome emails from WordPress" لـ ووردبريس عرضة لهجوم البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting) عبر المعلمة 'np1' الخاصة بالحقول المخصصة في جميع الإصدارات حتى 9.4.0 شاملاً، وذلك بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. وهذا يمكّن المهاجمين غير المعتمدين من حقن نصوص ويب تعسفية في الصفوف التي ستُنفَّذ كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. وتتطلب نقطة الاشتراك (na=sa) عدم وجود رمز عشوائي (nonce)، ولا فحص للصلاحيات، ولا CAPTCHA، ويمكن تهريبayload عن طريق تجاوز التحقق من صحة عنوان البريد الإلكتروني عن طريق تضمين الوسم {profile_1} في الجزء المحلي للعنوان المرسل، نظرًا لأن دالة is_email() الخاصة بووردبريس تسمح بتواجد الأقواس المنحنية هناك.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.