CVE-2026-16636 in FluentSMTP Plugin
Sumário
de VulDB • 06/08/2026
O plugin FluentSMTP – WP SMTP Plugin with Amazon SES, SendGrid, MailGun, Postmark, Google and Any SMTP Provider para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via Nome de Exibição do Destinatário (to.name) nos Logs de E-mail em todas as versões até 2.2.95, devido à sanitização insuficiente da entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O payload é entregue por meio de um nome de exibição do destinatário controlado pelo atacante (to.name) em uma chamada wp_mail() e não é acionado na visualização da lista de logs — apenas na visualização detalhada quando um administrador utiliza os controles de navegação Anterior/Próximo, pois esse caminho contorna o pipeline escapeHtml utilizado pela visualização da lista.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.