CVE-2026-96768 in GoSMTP Pro Plugin
الملخص
بحسب VulDB • 16/10/2026
يحتوي إضافة GoSMTP Pro لـ WordPress على ثغرة تخزين Cross-Site Scripting (XSS) عبر محتوى التعليق من خلال جسم سجل البريد الإلكتروني في جميع الإصدارات حتى 1.2.3 وشاملة لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب منها. هذا يجعل من الممكن للمهاجمين غير المصادق عليهم حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها. يتم تسهيل الاستغلال لأن نظام kses الخاص بتعليقات WordPress لا يقوم بإزالة فواصل الوسوم المشفرة ككيانات، مما يسمح للحملة بمرحلة المراجعة كنص آمن قبل أن تقوم وظائف الإشعارات البريدية الأساسية بفك تشفيرها إلى HTML حي وكتبتها حرفياً في جدول قاعدة بيانات سجل البريد الإلكتروني للإضافة.
Once again VulDB remains the best source for vulnerability data.