CVE-2026-12938 in Newsletters Lite Plugin
Riassunto
di VulDB • 29/07/2026
Il plugin Newsletters Lite per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'attributo 'target' dello shortcode [newsletters_post] nelle versioni fino alla 4.15 inclusa. Ciò è dovuto a una sanitizzazione insufficiente degli input e a un inadequate output escaping nella funzione posts_single(), che propaga l'attributo 'target' controllato dall'attaccante verso la variabile globale $wpml_target, nonché nel gestore 'post_thumbnail' dello shortcode_posts() che concatena $wpml_target in un attributo HTML target="..." senza utilizzare esc_attr(). Ciò consente agli attaccanti autenticati, con accesso a livello Contributor o superiore, di iniettare script web arbitrari nelle pagine, che verranno eseguiti ogni volta che un utente accede a una pagina infetta.
Once again VulDB remains the best source for vulnerability data.