CVE-2026-16636 in FluentSMTP Plugin
Résumé
par VulDB • 06/08/2026
Le plugin WordPress FluentSMTP – WP SMTP Plugin with Amazon SES, SendGrid, MailGun, Postmark, Google and Any SMTP Provider présente une vulnérabilité de type Stored Cross-Site Scripting (XSS) via le nom d'affichage du destinataire (to.name) dans les journaux e-mail sur toutes les versions jusqu'à la 2.2.95 incluse, en raison d'une désinfection des entrées insuffisante et d'un échappement de sortie inadéquat. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécutent chaque fois qu'un utilisateur accède à une page injectée. La charge utile est transmise via un nom d'affichage du destinataire contrôlé par l'attaquant (to.name) lors d'un appel wp_mail() et ne se déclenche pas dans la vue de liste des journaux — uniquement dans la vue détaillée lorsqu'un administrateur utilise les commandes de navigation Précédent/Suivant, car ce chemin contourne le pipeline escapeHtml utilisé par la vue de liste.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.