CVE-2026-12938

Nome do Software Vulnerável e Versões Afetadas Newsletters Lite versões anteriores a 4.16

Description Ocorre Cross-Site Scripting Armazenado quando atacantes autenticados com nível de acesso de Colaborador ou superior injetam scripts web arbitrários em páginas. O problema decorre de sanitização de entrada e escape de saída insuficientes na função posts single(), que permite que o atributo target controlado pelo atacante se propague para a variável global $wpml target. Subsequentemente, o manipulador post thumbnail de shortcode posts() concatena $wpml target em um atributo HTML target="..." sem utilizar esc attr(), resultando na execução de scripts quando um usuário visita a página afetada. Isso afeta o atributo target do shortcode [newsletters post].

Recommendations Atualize para uma versão posterior a 4.15. Como medida paliativa temporária, restrinja o uso do atributo target dentro do shortcode [newsletters post].