CVE-2026-16636 in FluentSMTP Plugin
Riassunto
di VulDB • 06/08/2026
Il plugin WordPress FluentSMTP – WP SMTP Plugin with Amazon SES, SendGrid, MailGun, Postmark, Google and Any SMTP Provider è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il nome visualizzato del destinatario (to.name) nei log delle email in tutte le versioni fino alla 2.2.95 inclusa, a causa di una sanitizzazione insufficiente degli input e della mancata corretta escape dei dati in output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il payload viene fornito tramite il nome visualizzato del destinatario controllato dall'attaccante (to.name) all'interno di una chiamata wp_mail() e non si attiva nella vista dell'elenco dei log, ma solo nella vista dettagliata quando un amministratore utilizza i controlli di navigazione Precedente/Successivo, poiché tale percorso bypassa la pipeline escapeHtml utilizzata dalla vista elenco.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.