CVE-2026-42701
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress YayMail w wersjach do 4.4.6 zawiera podatność PHP Object Injection, którą może wykorzystać użytkownik z rolą shop managera. Może to prowadzić do wstrzyknięcia złośliwego obiektu PHP i dalszej eksploatacji.
Ocena ryzyka
Atakujący z uprawnieniami shop managera może wykorzystać podatność do wykonania nieautoryzowanych działań, potencjalnie prowadzących do przejęcia kontroli nad aplikacją. Ryzyko dotyczy witryn z podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę YayMail do wersji nowszej niż 4.4.6. Ogranicz uprawnienia shop managerów do niezbędnego minimum do czasu wdrożenia poprawki.
Inne podatności w YayMail
Zobacz wszystkie- CVE-2026-39498Wysokie
W wersjach YayMail do 4.3.3 występuje podatność na wstrzykiwanie obiektów PHP w menedżerze sklepu.
- CVE-2026-39496Wysokie
Wtyczka YayMail od YayCommerce do wersji 4.3.3 włącznie jest podatna na atak Blind SQL Injection poprzez nieprawidłową neutralizację specjalnych elementów używanych w poleceniu SQL.
Oryginalny opis (angielski, źródło NVD)
Shop manager PHP Object Injection in YayMail <= 4.4.6 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS