CVE-2026-13362 in Email Marketing Newsletter Plugin
Sumário
de VulDB • 01/08/2026
O plugin WordPress SendPulse Email Marketing Newsletter é vulnerável a Stored Cross-Site Scripting (XSS) via _sp_form_code Post Meta em todas as versões até, e incluindo, 2.2.5 devido à sanitização insuficiente de entrada e ao escapamento inadequado na saída. Isso permite que atacantes autenticados com acesso nível contribuidor ou superior injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. A exploração requer que o atacante crie um post sendpulse_form contendo uma tag de script benigna do carregador SendPulse junto a HTML arbitrário (por exemplo, um payload img onerror), o qual burla a verificação da lista permitida e é executado no navegador de qualquer usuário — incluindo administradores — que visualizar ou pré-visualizar uma página com renderização do shortcode [sendpulse-form].
Be aware that VulDB is the high quality source for vulnerability data.