CVE-2026-12583
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Newsletters dla WordPress przed wersją 4.15 nie zabezpiecza przed deserializacją niezaufanych danych wprowadzanych przez publiczny formularz. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP i, poprzez łańcuch gadżetów zorientowanych na właściwości, zapisanie dowolnych plików i wykonanie kodu na serwerze.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, wykraść dane lub zainstalować złośliwe oprogramowanie bez konieczności logowania.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Newsletters do wersji 4.15 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę.
Inne podatności w Newsletters WordPress plugin
Zobacz wszystkie- CVE-2026-16264Średnie
Wtyczka WordPress Newsletters w wersji przed 4.18.1 nie sprawdza właściciela w niektórych akcjach zarządzania subskrybentami oraz przyznaje sesję zarządzania niezalogowanym odwiedzającym na żądanie. Umożliwia to atakującym odczyt danych osobowych dowolnego subskrybenta oraz nadpisanie jego rekordu, w tym adresu e-mail.
- CVE-2026-16268Wysokie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie uwierzytelnia ani nie weryfikuje żądania przetwarzania zwrotów (bounce), zanim pobierze adres URL podany przez użytkownika po stronie serwera. Pozwala to nieuwierzytelnionym atakującym na wysyłanie żądań do dowolnych wewnętrznych lub zewnętrznych hostów.
Oryginalny opis (angielski, źródło NVD)
The Newsletters WordPress plugin before 4.15 does not prevent deserialization of untrusted input that is stored through a public form, allowing unauthenticated attackers to inject a PHP object and, via a property-oriented gadget chain bundled with the Newsletters WordPress plugin before 4.15, write arbitrary files and execute code on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS