CVE-2025-12887
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Post SMTP dla WordPressa w wersjach do 3.6.1 włącznie jest podatna na obejście autoryzacji. Funkcja 'handle_gmail_oauth_redirect' nie weryfikuje poprawnie uprawnień użytkownika do aktualizacji tokenów OAuth, co pozwala uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wstrzyknąć nieprawidłowe lub kontrolowane przez atakującego poświadczenia OAuth.
Ocena ryzyka
Atakujący może przejąć lub zepsuć konfigurację poczty wychodzącej, co może prowadzić do wysyłania wiadomości w imieniu organizacji lub ujawnienia danych logowania. Może to naruszyć integralność komunikacji e-mail i zaufanie do systemu.
Rekomendacja
Zaktualizuj wtyczkę Post SMTP do wersji nowszej niż 3.6.1, gdy tylko poprawka będzie dostępna. Do czasu aktualizacji rozważ ograniczenie dostępu do funkcji OAuth lub wyłączenie wtyczki.
Inne podatności w Post SMTP
Zobacz wszystkie- CVE-2026-81278Średnie
Podatność Missing Authorization w Post SMTP od wersji 4.0.0 do beta.1. Pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-48838Wysokie
W wersjach Post SMTP <= 3.6.2 występuje podatność na nieautoryzowany atak Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
- CVE-2025-67563Średnie
Wtyczka Post SMTP autorstwa Saad Iqbal jest podatna na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.6.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Post SMTP plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.6.1. This is due to the plugin not properly verifying that a user is authorized to update OAuth tokens on the 'handle_gmail_oauth_redirect' function. This makes it possible for authenticated attackers, with subscriber level access and above, to inject invalid or attacker-controlled OAuth credentials. CVE-2025-67563 appears to be a duplicate of this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS