Resumo: O plugin Newsletter – Send awesome emails from WordPress, até a versão 9.4.0, permite que visitantes sem login injetem scripts pelo parâmetro de campo personalizado “np1” do formulário de inscrição (CVSS 7.2). O endpoint de inscrição não exige nonce, verificação de permissão nem CAPTCHA, e o código malicioso passa pela validação de e-mail escondido em um placeholder. O script roda quando alguém, inclusive um administrador, abre a página afetada, o que pode levar ao sequestro da sessão.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Atualize o plugin Newsletter para a versão mais recente (posterior à 9.4.0). Revise a lista de assinantes e os campos de perfil em busca de valores com tags HTML ou JavaScript, ative CAPTCHA/antispam no formulário de inscrição e mantenha as regras de WAF (Wordfence, Sucuri ou similar) atualizadas.