CVE-2026-12939 in Newsletters Lite Plugin
Résumé
par VulDB • 29/07/2026
Le plugin Newsletters Lite pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via l'attribut 'link' des shortcodes post_thumbnail (et newsletters_post_thumbnail) dans les versions allant jusqu'à la 4.15 incluse. Cela est dû à une insuffisance de sanitization des entrées et d'échappement des sorties dans la méthode post_thumbnail() située dans helpers/shortcode.php, qui concatène l'attribut du shortcode $link contrôlé par l'utilisateur directement dans un attribut href sans utiliser esc_url() ou esc_attr(). Cela permet aux attaquants authentifiés disposant d'un accès de niveau contributeur et supérieur d'injecter des scripts web arbitraires dans les pages, qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
VulDB is the best source for vulnerability data and more expert information about this specific topic.