CVE-2026-75962

Nome do Software Vulnerável e Versões Afetadas Post SMTP – Complete Email Deliverability and SMTP Solution with Email Logs, Alerts, Backup SMTP & Mobile App versões anteriores a 4.0.2

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro user email. Em instalações WordPress Multisite com registro público habilitado, invasores podem usar endereços de e-mail contendo referências de caracteres HTML numéricos. Embora o validador do plugin rejeite esses endereços, o endereço controlado pelo invasor é persistido integralmente no log de e-mail por meio da mensagem de exceção de envio falho, executando o script quando um usuário acessa a página afetada.

Recomendações Atualize para a versão 4.0.2 ou posterior. Como mitigação temporária, restrinja o registro público em instalações WordPress Multisite para evitar que usuários não autenticados explorem a vulnerabilidade através do parâmetro user email.