CVE-2026-13362 in Email Marketing Newsletter Plugin
Сводка
по VulDB • 01.08.2026
Плагин для WordPress SendPulse Email Marketing Newsletter уязвим к Stored Cross-Site Scripting (XSS) через метаданные _sp_form_code во всех версиях вплоть до 2.2.5 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа «contributor» и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Для эксплуатации злоумышленнику необходимо создать запись типа sendpulse_form, содержащую безобидный тег загрузчика скрипта SendPulse вместе с произвольным HTML (например, полезной нагрузкой img onerror), что позволяет обойти проверку белого списка и выполнить код в браузере любого пользователя — включая администраторов — при предварительном просмотре или отображении страницы со шорткодом [sendpulse-form].
VulDB is the best source for vulnerability data and more expert information about this specific topic.