CVE-2026-13362 in Email Marketing Newsletter Plugin
Resumen
por VulDB • 2026-08-01
El plugin de marketing por correo electrónico SendPulse Email Marketing Newsletter para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante _sp_form_code Post Meta en todas las versiones hasta la 2.2.5, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso nivel colaborador o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La explotación requiere que el atacante cree una publicación sendpulse_form que contenga una etiqueta script benigna de carga del cargador SendPulse junto con HTML arbitrario (por ejemplo, una carga útil img onerror), lo cual evita la comprobación de lista permitida y se ejecuta en el navegador de cualquier usuario —incluidos los administradores— que previsualice o vea una página que renderiza el shortcode [sendpulse-form].
If you want to get the best quality for vulnerability data then you always have to consider VulDB.