CVE-2026-13362 in Email Marketing Newsletter Plugin
Zusammenfassung
von VulDB • 01.08.2026
Das WordPress-Plugin „SendPulse Email Marketing Newsletter“ ist in allen Versionen bis einschließlich 2.2.5 aufgrund unzureichender Eingabebereinigung (Input Sanitization) und Ausgabe-Codierung (Output Escaping) anfällig für Stored Cross-Site Scripting (XSS) über die Post-Meta-Variable `_sp_form_code`. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Die Ausnutzung erfordert, dass der Angreifer einen `sendpulse_form`-Post erstellt, der neben beliebigem HTML (z. B. einem img-onerror-Payload) auch einen harmlosen SendPulse-Lader-Skripttag enthält, wodurch die Allow-List-Prüfung umgangen und das Skript im Browser jedes Benutzers – einschließlich Administratoren – ausgeführt wird, der eine Seite mit dem `[sendpulse-form]`-Shortcode anzeigt oder vorschaut.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.