CVE-2026-102562
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka AcyMailing dla WordPressa w wersjach do 11.1.0 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr customField[] publicznego endpointu frontusers::subscribe. Sanitizer acym_cleanVar() usuwa jedynie kompletne tagi HTML, a funkcja SubscriberInsertion::replaceUserInformation() oraz szablon widoku archiwum wstawiają zapisaną wartość pola subskrybenta do treści wiadomości bez kodowania HTML. Umożliwia to nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnych skryptów, które wykonają się przy wejściu na URL archiwum zatrutego subskrybenta.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, w tym administratora klikającego link w ekranie Subskrybenci → Historia, co grozi przejęciem sesji lub wykonaniem działań w kontekście uprawnień administratora.
Rekomendacja
Zaktualizować wtyczkę AcyMailing do wersji nowszej niż 11.1.0, a jeśli to niemożliwe — ograniczyć dostęp do publicznego endpointu subskrypcji i zweryfikować poprawność kodowania HTML w szablonach archiwum.
Inne podatności w AcyMailing
Zobacz wszystkie- CVE-2026-77807Wysokie
Wtyczka AcyMailing dla WordPressa w wersjach do 11.0.4 włącznie jest podatna na Directory Traversal poprzez parametr `user[name]`. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików na serwerze. Wykorzystanie wymaga włączonej opcji "Embed images" w konfiguracji AcyMailing.
- CVE-2026-15426Wysokie
Wtyczka AcyMailing dla WordPressa do wersji 10.11.1 włącznie ma podatność na obejście autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może nadpisać pole BCC szablonu powiadomienia acy_notification_cms, co powoduje, że e-maile z resetem hasła WordPressa, w tym te kierowane do administratorów, są po cichu kopiowane na adres kontrolowany przez atakującego, umożliwiając przejęcie konta.
- CVE-2026-56292Wysokie
Podatność SQL Injection w rozszerzeniu AcyMailing dla Joomla w wersjach poniżej 10.11.1 umożliwia nieautoryzowany dostęp do bazy danych i wyciek danych.
- CVE-2026-12170Średnie
Wtyczka AcyMailing dla WordPressa do wersji 10.10.2 włącznie zawiera podatność na trwałe ataki XSS przez atrybut 'alignment'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdym dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The AcyMailing plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the customField[] parameter of the public frontusers::subscribe endpoint in versions up to, and including, 11.1.0. This is due to insufficient input sanitization and output escaping in the acym_cleanVar() sanitizer, whose HTML-tag stripper only matches complete tags (requiring a closing '>'), together with SubscriberInsertion::replaceUserInformation() and the archive view template, which substitute the stored subscriber field value into the mail body and emit it without HTML encoding. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses the online-archive URL for the poisoned subscriber, including administrators who click the plugin-generated link in the Subscribers → History screen.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS