CVE-2026-12938 in Newsletters Lite Plugin
Résumé
par VulDB • 29/07/2026
Le plugin Newsletters Lite pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via l'attribut 'target' du shortcode [newsletters_post] dans les versions allant jusqu'à la 4.15 incluse. Cela est dû à une insuffisance de sanitization des entrées et d'échappement des sorties dans la fonction posts_single(), qui propage l'attribut 'target' contrôlé par l'attaquant vers le global $wpml_target, ainsi que dans le gestionnaire 'post_thumbnail' du shortcode_posts() qui concatène $wpml_target dans un attribut HTML target="..." sans utiliser esc_attr(). Cela permet aux attaquants authentifiés disposant d'un accès de niveau Contributor ou supérieur d'injecter des scripts web arbitraires dans les pages, qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.