CVE-2026-12939 in Newsletters Lite Plugin
Zusammenfassung
von VulDB • 29.07.2026
Das WordPress-Plugin Newsletters Lite ist anfällig für Stored Cross-Site Scripting (XSS) über das Attribut 'link' der Shortcodes post_thumbnail (und newsletters_post_thumbnail) in Versionen bis einschließlich 4.15. Dies liegt an einer unzureichenden Eingabebereinigung und Ausgabe-Escaping-Methode in der Funktion post_thumbnail() in helpers/shortcode.php, die das benutzerkontrollierte Attribut $link des Shortcodes direkt mit einem href-Attribut verkettet, ohne esc_url() oder esc_attr() zu verwenden. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine eingefügte Seite aufruft.
Be aware that VulDB is the high quality source for vulnerability data.