CVE-2026-111402: WordPress Newsletters plugin <= 4.18.1 - SQL Injection vulnerability

Severity: critical (CVSS 9.3 v3.1)
Exploited in the wild: not listed in CISA KEV
EPSS: 0.3% probability of exploitation in the next 30 days
Public exploit or detection template: none known
Published: 2026-10-24 · updated 2026-10-26
Weakness: CWE-89

Description

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Tribulant Software Newsletters newsletters-lite allows SQL Injection.This issue affects Newsletters: from n/a through 4.18.1.

Summary

The Tribulant Software Newsletters plugin for WordPress (versions through 4.18.1) contains a critical SQL injection flaw (CVSS 9.3) caused by improper neutralization of special elements in SQL commands. An attacker could inject malicious SQL to read or alter database contents, potentially exposing sensitive site data. It is not listed in CISA KEV and no exploitation has been reported, with a low EPSS probability of 0.3%. Update the plugin to a version later than 4.18.1 once available, or disable/remove it if no fix exists.

تحتوي إضافة Newsletters من Tribulant Software لمنصة WordPress (الإصدارات حتى 4.18.1) على ثغرة حقن SQL خطيرة (CVSS 9.3) ناتجة عن عدم تحييد العناصر الخاصة في أوامر SQL بشكل صحيح. قد يتمكن المهاجم من حقن أوامر SQL خبيثة لقراءة محتويات قاعدة البيانات أو تعديلها، مما قد يكشف بيانات الموقع الحساسة. الثغرة غير مدرجة في CISA KEV ولم يُبلَّغ عن استغلالها، واحتمال الاستغلال خلال 30 يوماً وفق EPSS منخفض عند 0.3%. يُنصح بالتحديث إلى إصدار أحدث من 4.18.1 فور توفره، أو تعطيل الإضافة أو إزالتها في حال عدم توفر إصلاح.

Affected products

Tribulant Software Newsletters: through 4.18.1

References

https://patchstack.com/database/wordpress/plugin/newsletters-lite/vulnerability/wordpress-newsletters-plugin-4-18-1-sql-injection-vulnerability?_s_id=cve

Get alerted when CVE-2026-111402 or the next vulnerability affects your stack