CVE-2026-93889 in Mail Logging & Catcher Plugin
要約
〜によって VulDB • 2026年10月03日
WordPress用プラグイン「WP Mail Catcher」のメールログ機能には、PHPMailer の 'wp_mail_failed' エラーメッセージにおける不十分な入力サニタイズおよび出力エスケープに起因する、バージョン2.1.12以前すべての版で格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これにより、認証されていない攻撃者は、ユーザーが注入されたページにアクセスした際に実行される任意のWebスクリプトをページ中に挿入することが可能になります。成功した悪用には、Contact Form 7などの別個にインストールされたプラグインが必要であり、これは認証されないユーザー制御の入力をメールフィールドへ渡し、PHPMailer がその内容を失敗時のエラーメッセージに含めるようにします。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.