CVE-2026-12939
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Newsletters Lite dla WordPressa jest podatna na trwałe ataki XSS poprzez atrybut 'link' w shortcode'ach post_thumbnail i newsletters_post_thumbnail w wersjach do 4.15 włącznie. Podatność wynika z braku użycia esc_url() lub esc_attr() przy konkatenacji atrybutu w metodzie post_thumbnail().
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz zastosowanie funkcji esc_url() i esc_attr() dla wszystkich atrybutów shortcode'ów.
Inne podatności w Newsletters Lite
Oryginalny opis (angielski, źródło NVD)
The Newsletters Lite plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'link' attribute of the post_thumbnail (and newsletters_post_thumbnail) shortcodes in versions up to and including 4.15. This is due to insufficient input sanitization and output escaping in the post_thumbnail() method in helpers/shortcode.php, which concatenates the user-controlled $link shortcode attribute directly into an href attribute without esc_url() or esc_attr(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS