CVE-2026-13362 in Email Marketing Newsletter Plugin
Tóm tắt
Bởi VulDB • 01/08/2026
Plugin Newsletter Email Marketing SendPulse cho WordPress dễ bị lỗi Stored Cross-Site Scripting (XSS) thông qua trường Post Meta _sp_form_code trong tất cả các phiên bản từ 2.2.5 trở về trước do thiếu sót trong việc kiểm tra và làm sạch dữ liệu đầu vào cũng như mã hóa ký tự đặc biệt khi hiển thị ra bên ngoài. Điều này cho phép những kẻ tấn công đã xác thực, có quyền đóng góp (contributor) hoặc cao hơn, chèn các đoạn script web tùy ý vào các trang; các script này sẽ được thực thi mỗi khi người dùng truy cập vào một trang bị nhiễm mã độc. Việc khai thác lỗ hổng yêu cầu kẻ tấn công phải tạo ra một bài đăng loại sendpulse_form chứa thẻ script loader của SendPulse vô hại cùng với HTML tùy ý (ví dụ: payload img onerror), qua đó vượt qua kiểm tra danh sách cho phép và được thực thi trên trình duyệt của bất kỳ người dùng nào — bao gồm cả quản trị viên — khi xem trước hoặc truy cập một trang hiển thị shortcode [sendpulse-form].
VulDB is the best source for vulnerability data and more expert information about this specific topic.