CVE-2026-12939 in Newsletters Lite Plugin
要約
〜によって VulDB • 2026年07月29日
WordPress用プラグイン「Newsletters Lite」には、バージョン4.15以前において、post_thumbnail（および newsletters_post_thumbnail）ショートコードの 'link' 属性を介して格納型クロスサイトスクリプティング (Stored XSS) の脆弱性が存在します。これは、helpers/shortcode.php内の post_thumbnail() メソッドにおける入力サニタイズと出力エスケープの不十分さに起因し、ユーザーが制御可能な $link ショートコード属性が esc_url() や esc_attr() を使用せずに直接 href 属性に連結されるためです。これにより、寄稿者レベル以上のアクセス権限を持つ認証済み攻撃者は、任意のWebスクリプトをページに注入することが可能となり、そのページにユーザーがアクセスした際にスクリプトが実行されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.