CVE-2026-12938
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Newsletters Lite dla WordPressa jest podatna na trwałe ataki XSS poprzez atrybut 'target' w shortcode'ie [newsletters_post] w wersjach do 4.15 włącznie. Podatność wynika z propagacji atrybutu do globalnej zmiennej $wpml_target i braku użycia esc_attr() przy konkatenacji w handlerze shortcode_posts().
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz zastosowanie funkcji esc_attr() dla wszystkich atrybutów HTML generowanych przez shortcode.
Inne podatności w Newsletters Lite
Oryginalny opis (angielski, źródło NVD)
The Newsletters Lite plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'target' attribute of the [newsletters_post] shortcode in versions up to and including 4.15. This is due to insufficient input sanitization and output escaping in the posts_single() function which propagates the attacker-controlled 'target' attribute into the global $wpml_target, and in the shortcode_posts() 'post_thumbnail' handler which concatenates $wpml_target into a target="..." HTML attribute without esc_attr(). This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS