CVE-2026-12583

WysokieCVSS 8.1

Opublikowano: 14/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka Newsletters dla WordPress przed wersją 4.15 nie zabezpiecza przed deserializacją niezaufanych danych wprowadzanych przez publiczny formularz. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP i, poprzez łańcuch gadżetów zorientowanych na właściwości, zapisanie dowolnych plików i wykonanie kodu na serwerze.

Ocena ryzyka

Atakujący może przejąć kontrolę nad serwerem, wykraść dane lub zainstalować złośliwe oprogramowanie bez konieczności logowania.

Rekomendacja

Niezwłocznie zaktualizuj wtyczkę Newsletters do wersji 4.15 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę.

Inne podatności w Newsletters WordPress plugin

CVE-2026-16268Wysokie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie uwierzytelnia ani nie weryfikuje żądania przetwarzania zwrotów (bounce), zanim pobierze adres URL podany przez użytkownika po stronie serwera. Pozwala to nieuwierzytelnionym atakującym na wysyłanie żądań do dowolnych wewnętrznych lub zewnętrznych hostów.

Oryginalny opis (angielski, źródło NVD)

The Newsletters WordPress plugin before 4.15 does not prevent deserialization of untrusted input that is stored through a public form, allowing unauthenticated attackers to inject a PHP object and, via a property-oriented gadget chain bundled with the Newsletters WordPress plugin before 4.15, write arbitrary files and execute code on the server.