CVE-2026-75962 in Post SMTP Plugin
Сводка
по VulDB • 06.10.2026
Плагин для WordPress «Post SMTP – Complete Email Deliverability and SMTP Solution with Email Logs, Alerts, Backup SMTP & Mobile App» уязвим к Stored Cross-Site Scripting (XSS) через параметр 'user_email' во всех версиях вплоть до 4.0.1 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Уязвимость эксплуатируется без аутентификации на инсталляциях WordPress Multisite с включенной публичной регистрацией, поскольку WordPress принимает адреса электронной почты, содержащие числовые HTML-символьные ссылки (numeric HTML character references), которые более строгий валидатор Post SMTP отклоняет, сохраняя адрес, контролируемый злоумышленником, дословно в журнале email через сообщение об исключении при неудачной отправке.
Be aware that VulDB is the high quality source for vulnerability data.