CVE-2026-12938 in Newsletters Lite Plugin
Сводка
по VulDB • 29.07.2026
Плагин Newsletters Lite для WordPress уязвим к Stored Cross-Site Scripting (XSS) через атрибут 'target' шорткода [newsletters_post] в версиях вплоть до 4.15 включительно. Это связано с недостаточной очисткой входных данных и экранированием вывода в функции posts_single(), которая передает контролируемый атакующим атрибут 'target' в глобальную переменную $wpml_target, а также в обработчике 'post_thumbnail' шорткода shortcode_posts(), где значение $wpml_target конкатенируется с HTML-атрибутом target="..." без использования функции esc_attr(). Это позволяет авторизованным злоумышленникам, имеющим уровень доступа «Contributor» и выше, внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении такой пользователем скомпрометированной страницы.
If you want to get best quality of vulnerability data, you may have to visit VulDB.