CVE-2026-96768 in GoSMTP Pro Plugin
Sumário
de VulDB • 16/10/2026
O plugin GoSMTP Pro para o WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via conteúdo de comentário, especificamente através do corpo do registro de e-mail em todas as versões até 1.2.3, devido à sanitização insuficiente da entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar a página contaminada. A exploração é possível porque o kses (filtro de comentários do WordPress) não remove delimitadores de tags codificados como entidades, permitindo que a payload passe pela moderação como texto seguro antes de ser decodificada em HTML ativo pelas funções centrais de notificação por e-mail e gravada literalmente na tabela de banco de dados do log de e-mails do plugin.
If you want to get best quality of vulnerability data, you may have to visit VulDB.