→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-12938 · newsletters-lite

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Newsletters

افزونه Newsletters Lite برای وردپرس در نسخه‌های تا ۴.۱۵ آسیب‌پذیر به تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق ویژگی 'target' شورتکد [newsletters_post] است که به دلیل عدم تمیزسازی کافی ورودی و فرار خروجی در تابع posts_single() که ویژگی کنترل‌شده توسط مهاجم 'target' را به $wpml_target منتقل می‌کند و در هندلر post_thumbnail شورتکد_posts() که آن را بدون esc_attr() به ویژگی HTML target="..." الحاق می‌کند، رخ می‌دهد. مهاجمان با سطح دسترسی Contributor و بالاتر می‌توانند اسکریپت‌های دلخواه را تزریق کنند که در صفحات تزریقی اجرا شود و خطر امنیتی برای وب‌سایت ایجاد کند. توصیه امنیتی: به دلیل وجود پچ امنیتی، فوراً به نسخه امن به‌روزرسانی کنید.