CVE-2026-16636 in FluentSMTP Plugin
摘要
由 VulDB • 2026-08-06
FluentSMTP – WP SMTP Plugin with Amazon SES, SendGrid, MailGun, Postmark, Google and Any SMTP Provider 是 WordPress 的一个插件，在所有版本（包括 v2.2.95）中均存在存储型跨站脚本漏洞（Stored Cross-Site Scripting），该漏洞源于对电子邮件日志中的收件人显示名称（to.name）输入清理和输出转义不足。这使得未经身份验证的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时这些脚本将执行。有效载荷通过攻击者控制的 wp_mail() 调用中的收件人显示名称（to.name）传递，并且不会在日志列表视图中触发——仅在管理员使用“上一条/下一条”导航控件查看详细信息视图时才会触发，因为该路径绕过了列表视图所使用的 escapeHtml 管道处理流程。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.