CVE-2026-15191
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Mettle SendPortal do wersji 3.0.1 wykryto podatność w punkcie końcowym tworzenia kampanii. Nieznany kod w pliku CampaignStoreRequest.php umożliwia zdalne obejście autoryzacji. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie ominąć mechanizmy autoryzacji i tworzyć kampanie bez odpowiednich uprawnień, co prowadzi do nieautoryzowanego dostępu i potencjalnego naruszenia danych.
Rekomendacja
Należy natychmiast zaktualizować Mettle SendPortal do najnowszej dostępnej wersji lub zastosować tymczasowe zabezpieczenia, takie jak ograniczenie dostępu do punktu końcowego tworzenia kampanii.
Inne podatności w Mettle SendPortal
Zobacz wszystkie- CVE-2026-26483Średnie
Mettle SendPortal 3.0.1 i wcześniejsze zawiera podatność na trwały XSS w funkcjonalności zarządzania szablonami. Aplikacja nie sanitizuje poprawnie danych wejściowych w parametrze content endpointu /templates, co pozwala atakującemu na trwałe wstrzyknięcie złośliwego kodu JavaScript.
- CVE-2026-15192Średnie
W Mettle SendPortal do wersji 3.0.1 wykryto brak uwierzytelnienia w komponencie APIv1 Webhooks dla funkcji sendgrid/postmark/postal/mailjet. Luka umożliwia zdalne wykorzystanie bez autoryzacji, a szczegóły ataku zostały ujawnione publicznie.
- CVE-2026-10234Niskie
Nieznana część pliku /webview/ w komponencie Campaign Handler w Mettle sendportal do wersji 3.0.1 jest podatna na atak XSS poprzez manipulację argumentem content. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in mettle sendportal up to 3.0.1. This vulnerability affects unknown code of the file vendor/mettle/sendportal-core/src/Http/Requests/CampaignStoreRequest.php of the component Campaign Creation Endpoint. Executing a manipulation can lead to authorization bypass. The attack can be executed remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.