CVE-2026-90981
ŚrednieCVSS 6.1Streszczenie
Wtyczka Newsletter – Send awesome emails from WordPress dla WordPress jest podatna na odbite Cross-Site Scripting poprzez parametr 'nn' we wszystkich wersjach do 9.3.8 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać skrypty, jeśli nakłonią użytkownika do kliknięcia linku.
Ocena ryzyka
Atakujący może wykonać XSS na zalogowanym administratorze, co może prowadzić do przejęcia sesji lub wykonania działań administracyjnych. Wymaga interakcji ofiary (kliknięcie linku).
Rekomendacja
Zaktualizuj wtyczkę Newsletter do wersji nowszej niż 9.3.8. Zachowaj ostrożność przy klikaniu linków w wiadomościach e-mail, nawet od zaufanych nadawców.
Inne podatności w Newsletter
Zobacz wszystkie- CVE-2026-86823Średnie
Wtyczka WordPress Newsletter w wersji przed 9.3.7 nie weryfikuje celu przekierowania po publicznej akcji subskrypcji. Nieuwierzytelnieni atakujący mogą przekierowywać użytkowników na dowolne zewnętrzne strony oraz ujawnić token subskrybenta, który daje dostęp do akcji front-endowych tego rekordu subskrybenta.
- CVE-2026-66596Wysokie
Nieuwierzytelnione podatność na Cross Site Scripting (XSS) w wtyczce Newsletter w wersjach do 9.3.3. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Oryginalny opis (angielski, źródło NVD)
The Newsletter – Send awesome emails from WordPress plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'nn' parameter in all versions up to, and including, 9.3.8 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Successful exploitation requires the victim to be a logged-in administrator, as the antibot check auto-passes for authenticated users, routing the unsanitized payload through the administrator-visible output branch of dienow().