Resumo: O plugin Mail logging – WP Mail Catcher, até a versão 2.1.12, registra a mensagem de erro do PHPMailer (hook wp_mail_failed) sem sanitizar nem escapar o conteúdo (CVSS 7.2). Quando outro plugin, como o Contact Form 7, repassa dados de visitantes para os campos do e-mail, um atacante sem login pode provocar uma falha de envio com código malicioso que fica salvo no log. O script é executado quando um administrador abre o registro no painel, o que pode levar ao sequestro da sessão.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Atualize o WP Mail Catcher para uma versão posterior à 2.1.12. Revise os registros de e-mails com falha no painel do plugin e apague entradas com tags HTML ou JavaScript suspeitas antes de abri-las. Ative CAPTCHA/antispam nos formulários de contato e mantenha o WAF atualizado.