CVE-2026-103482

Nome do Software Vulnerável e Versões Afetadas Simple Newsletter Plugin – Noptin versões anteriores a 4.3.11

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro noptin fields[<custom field merge tag>] (ex: first name) no formulário público manage preferences. A exploração requer uma postagem de campanha publicada que contenha uma tag de mesclagem [[subscriber.*]]. Um invasor pode enviar um payload codificado para o formulário e, em seguida, disparar a execução enviando uma URL de visualização de campanha contendo sua confirm key para um usuário privilegiado via engenharia social.

Recomendações Atualize para uma versão posterior à 4.3.10.