CVE-2026-75908
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka Newsletters dla WordPress do wersji 4.17 jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami autora i wyższymi mogą wysyłać dowolne newslettery do użytkowników dowolnej roli, w tym administratorów, poprzez sfałszowanie pól POST podczas normalnego przesyłania posta. Atakujący może przekazać slug roli przez pole newsletters_mailinglistsroles, co pozwala na nieautoryzowane masowe wysyłki i potencjalny phishing.
Ocena ryzyka
Atakujący może wykorzystać zaufany kanał e-mail witryny do przeprowadzania ataków phishingowych na uprzywilejowanych użytkowników, co może prowadzić do kompromitacji kont administratorów i naruszenia bezpieczeństwa całej witryny.
Rekomendacja
Zaktualizuj wtyczkę Newsletters do wersji nowszej niż 4.17, która zawiera poprawkę weryfikacji autoryzacji.
Inne podatności w Newsletters
Zobacz wszystkie- CVE-2026-94075Krytyczne
Wtyczka WordPress Newsletters (newsletters-lite) do wersji 4.18.1 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Może to prowadzić do wykonania niepożądanego kodu przez atakującego.
- CVE-2026-111402Krytyczne
Wtyczka WordPress Newsletters (newsletters-lite) do wersji 4.18.1 jest podatna na iniekcję SQL z powodu niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wykonanie dowolnych zapytań SQL.
- CVE-2026-101325Średnie
Wtyczka Newsletters dla WordPressa w wersjach do 4.18.1 włącznie jest podatna na czasową iniekcję SQL poprzez parametr 'id' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może dołączać dodatkowe zapytania SQL do istniejących zapytań w celu wydobycia poufnych informacji z bazy danych. Atakujący może uzyskać wymagany nonce i cookie subscriberauth bez konta WordPress, subskrybując publiczny formularz newslettera i otwierając link zarządzania wysłany e-mailem; kontrola własności weryfikuje tylko pole subscriber_id i nie sprawdza, czy wstrzyknięty parametr id należy do uwierzytelnionego subskrybenta.
- CVE-2026-66619Wysokie
Wtyczka WordPress Newsletters w wersjach do 4.18 zawiera podatność SQL Injection dostępną dla użytkowników z uprawnieniami administratora. Administrator może wstrzyknąć złośliwe zapytania SQL poprzez podatny parametr.
- CVE-2026-17522Średnie
Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie wykonuje żadnej kontroli nonce ani uprawnień podczas zapisywania jednego z ekranów ustawień i zapisuje każdy przesłany parametr do własnych opcji. Umożliwia to atakującym nakłonienie zalogowanego administratora do nadpisania dowolnych ustawień wtyczki, w tym poświadczeń chroniących jej API, poprzez atak Cross-Site Request Forgery.
- CVE-2026-17520Średnie
Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie generuje klucza API przy użyciu wystarczająco losowego źródła, wyprowadzając go z publicznie znanej wartości. Umożliwia to nieuwierzytelnionym atakującym obliczenie klucza i wykonywanie uprzywilejowanych działań, takich jak dodawanie i usuwanie subskrybentów oraz wysyłanie e-maili, gdy opcjonalne API zostało włączone.
- CVE-2026-16269Średnie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie porównuje ściśle klucza uwierzytelniającego API, co pozwala nieuwierzytelnionym atakującym ominąć uwierzytelnianie API przez type juggling i wykonywać uprzywilejowane działania, takie jak modyfikowanie rekordów subskrybentów i wysyłanie e-maili, gdy opcjonalne API jest włączone.
- CVE-2026-16267Wysokie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie ogranicza klas dozwolonych podczas deserializacji wartości pochodzącej z publicznego formularza, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne obiekty PHP.
- CVE-2026-57394Wysokie
Wtyczka Newsletters dla WordPressa (wersje do 4.14) zawiera podatność na odbity atak XSS. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania stron internetowych umożliwia wstrzyknięcie złośliwego skryptu.
- CVE-2026-3018Wysokie
Wtyczka Newsletters dla WordPressa do wersji 4.13 zawiera podatność na czasowe wstrzykiwanie SQL przez parametr 'wpmlsubscriber_id'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The Newsletters plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.17. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with author-level access and above, to send arbitrary newsletter emails to users of any WordPress role, including administrators, by forging POST fields during a normal post submission. This allows an attacker-supplied role slug via the newsletters_mailinglistsroles POST field to be passed directly to get_users(), enabling unauthorized mass-mailing and potential phishing against privileged site users through the site's own outbound email channel.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS