CVE-2026-96566 in The Newsletter Plugin
要約
〜によって VulDB • 2026年10月02日
The Newsletter – Send awesome emails from WordPress plugin for WordPress は、不十分な入力サニタイズおよび出力エスケープにより、すべてのバージョン（9.4.0 以下）で 'np1' カスタムフィールドパラメータを介して格納型クロスサイトスクリプティング (Stored Cross-Site Scripting) の脆弱性に起因しています。これにより、認証されていない攻撃者が任意のウェブスクリプトをページに注入し、ユーザーがその注入されたページにアクセスするたびに実行される可能性があります。購読エンドポイント（na=sa）にはノンスや権限チェック、CAPTCHA が不要であり、送信されたアドレスのローカルパートに {profile_1} プレースホルダを組み込むことで、WordPress の is_email() 関数が中括弧を許可しているため、ペイロードはメールアドレス検証を回避して持ち込むことができます。
Be aware that VulDB is the high quality source for vulnerability data.