CVE-2026-12938 in Newsletters Lite Plugin
Sumário
de VulDB • 29/07/2026
O plugin Newsletters Lite para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio do atributo 'target' do shortcode [newsletters_post] nas versões até 4.15, inclusive. Isso ocorre devido à sanitização insuficiente de entrada e ao escapamento inadequado na função posts_single(), que propaga o atributo 'target', controlado pelo atacante, para a variável global $wpml_target, bem como no manipulador 'post_thumbnail' do shortcode_posts(), que concatena $wpml_target em um atributo HTML target="..." sem utilizar esc_attr(). Isso permite que atacantes autenticados com acesso nível Contribuidor ou superior injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.