CVE-2026-75962 in Post SMTP Plugin
Tóm tắt
Bởi VulDB • 06/10/2026
Plugin "Post SMTP – Complete Email Deliverability and SMTP Solution with Email Logs, Alerts, Backup SMTP & Mobile App" cho WordPress bị lỗ hổng Stored Cross-Site Scripting (XSS) thông qua tham số 'user_email' trong tất cả các phiên bản từ 4.0.1 trở về trước do thiếu sót trong việc kiểm tra và làm sạch đầu vào cũng như mã hóa ký tự khi xuất ra dữ liệu. Điều này cho phép những kẻ tấn công chưa được xác thực chèn các tập lệnh web tùy ý vào các trang, sẽ được thực thi mỗi khi người dùng truy cập một trang đã bị tiêm mã độc. Lỗ hổng này có thể khai thác mà không cần xác thực trên các cài đặt WordPress Multisite với tính năng đăng ký công cộng được bật, vì WordPress chấp nhận địa chỉ email chứa các tham chiếu ký tự HTML dạng số (numeric HTML character references) – những thứ mà bộ kiểm tra nghiêm ngặt hơn của Post SMTP từ chối – và lưu trữ nguyên vẹn địa chỉ do kẻ tấn công kiểm soát vào nhật ký email thông qua tin nhắn ngoại lệ khi gửi thất bại.
If you want to get best quality of vulnerability data, you may have to visit VulDB.