Post SMTP <= 4.0.1 — Stored XSS через user_email в WordPress Multisite (CVE-2026-75962)
В плагине Post SMTP для WordPress обнаружена уязвимость Stored DOM-Based Cross-Site Scripting (CVE-2026-75962) с оценкой CVSS 7.2 (HIGH). Уязвимы все версии до 4.0.1 включительно. На WordPress Multisite с включённой публичной регистрацией атака возможна без аутентификации.
Подробности
Уязвимость затрагивает плагин Post SMTP – Complete Email Delivery and SMTP Solution with Email Logs, Alerts, Backup SMTP & Mobile App (автор saadiqbal) во всех версиях до 4.0.1 включительно. Причиной стало недостаточное экранирование входных данных и вывода при обработке параметра user_email. Механика эксплуатации связана с особенностями WordPress Multisite. При включённой публичной регистрации WordPress принимает адреса электронной почты, содержащие числовые HTML-ссылки на символы (numeric HTML character references). Встроенный валидатор Post SMTP такие адреса отклоняет как некорректные. В результате при неудачной попытке отправки письма атакующий контролируемый адрес сохраняется в журнале ошибок (failed email log) в исходном виде — вместе с внедрёнными веб-скриптами. Поскольку запись попадает в лог без должной очистки, произвольный JavaScript-код будет выполняться в браузере любого пользователя, открывшего соответствующую страницу журнала. Ключевая особенность — эксплуатировать уязвимость можно без аутентификации: достаточно, чтобы целевой сайт работал на WordPress Multisite с разрешённой самостоятельной регистрацией. Это существенно расширяет круг потенциальных атакующих, поскольку не требует учётной записи на сайте. Итоговый вектор: неаутентифицированный Stored DOM-Based XSS, приводящий к выполнению скриптов в контексте сессии администратора или иного привилегированного пользователя, просматривающего журнал ошибок отправки.Что делать
Основная рекомендация — обновить плагин Post SMTP до версии выше 4.0.1, как только производитель выпустит исправление. До выхода патча стоит рассмотреть следующие меры: - Отключить публичную регистрацию на WordPress Multisite, если она не требуется функционально. - Ограничить доступ к журналам плагина (email log) только для доверенных администраторов. - Внедрить Content Security Policy (CSP), снижающую риск выполнения инъецированных скриптов. - Провести проверку существующих записей в журнале ошибок на предмет подозрительных адресов электронной почты. - Усилить мониторинг попыток регистрации с аномальными email-адресами. Следует учитывать, что при отсутствии обновления митигации лишь снижают риск, но не устраняют уязвимость полностью. Итог CVE-2026-75962 — серьёзная уязвимость в широко используемом почтовом плагине для WordPress. Наиболее опасна она для мультисайтовых установок с открытой регистрацией, где атака возможна без аутентификации. Администраторам рекомендуется как можно скорее установить исправленную версию Post SMTP и пересмотреть настройки публичной регистрации.Источник: CVE Project (cvelistV5)