یک آسیب‌پذیری امنیتی با شدت High در افزونه Mail logging – WP Mail Catcher برای سیستم مدیریت محتوای وردپرس شناسایی شده است که با شناسه CVE-2026-93889 ثبت گردیده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی از نوع Stored Cross-Site Scripting (XSS) است و در تمامی نسخه‌های این افزونه تا ورژن 2.1.12 وجود دارد. ریشه این مشکل به عدم پاک‌سازی مناسب ورودی‌ها (Input Sanitization) و عدم خروجی‌گیری ایمن (Output Escaping) در پیام‌های خطای wp_mail_failed مربوط به کتابخانه PHPMailer بازمی‌گردد.
سناریوی حمله
عوامل تهدید (Threat Actors) می‌توانند بدون نیاز به احراز هویت (Unauthenticated)، اسکریپت‌های وب دلخواه خود را در صفحات مدیریت تزریق کنند. این اسکریپت‌ها هر زمان که یک کاربر (مانند مدیر سایت) به صفحه مورد نظر دسترسی پیدا کند، در مرورگر او اجرا خواهند شد.
پیش‌نیازهای بهره‌برداری
برای اجرای موفقیت‌آمیز این Exploit، وجود یک افزونه جانبی دیگر (مانند Contact Form 7) که امکان ارسال ایمیل را فراهم کند، ضروری است تا مهاجم بتواند پیام‌های خطای مورد نظر را تحریک کرده و کد مخرب را ذخیره نماید.
