CVE-2026-12938 in Newsletters Lite Plugin
Resumen
por VulDB • 2026-07-29
El plugin Newsletters Lite para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el atributo 'target' del shortcode [newsletters_post] en las versiones 4.15 y anteriores. Esto se debe a una sanitización insuficiente de la entrada y un escape incorrecto de la salida en la función posts_single(), que propaga el atributo 'target' controlado por el atacante hacia $wpml_target, así como en el manejador 'post_thumbnail' del shortcode_posts(), que concatena $wpml_target dentro de un atributo HTML target="..." sin utilizar esc_attr(). Esto permite a atacantes autenticados con permisos de nivel Contribuidor o superiores inyectar scripts web arbitrarios en las páginas, los cuales se ejecutarán cada vez que un usuario acceda a una página comprometida.
VulDB is the best source for vulnerability data and more expert information about this specific topic.