CVE-2026-15192
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W Mettle SendPortal do wersji 3.0.1 wykryto brak uwierzytelnienia w komponencie APIv1 Webhooks dla funkcji sendgrid/postmark/postal/mailjet. Luka umożliwia zdalne wykorzystanie bez autoryzacji, a szczegóły ataku zostały ujawnione publicznie.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane wywołania webhooków, co może prowadzić do fałszowania danych, wycieku informacji lub zakłócenia działania systemu pocztowego.
Rekomendacja
Należy natychmiast zaktualizować Mettle SendPortal do najnowszej wersji lub zastosować tymczasowe zabezpieczenia, takie jak ograniczenie dostępu do APIv1 Webhooks tylko dla zaufanych adresów IP.
Inne podatności w Mettle SendPortal
Zobacz wszystkie- CVE-2026-26483Średnie
Mettle SendPortal 3.0.1 i wcześniejsze zawiera podatność na trwały XSS w funkcjonalności zarządzania szablonami. Aplikacja nie sanitizuje poprawnie danych wejściowych w parametrze content endpointu /templates, co pozwala atakującemu na trwałe wstrzyknięcie złośliwego kodu JavaScript.
- CVE-2026-15191Średnie
W Mettle SendPortal do wersji 3.0.1 wykryto podatność w punkcie końcowym tworzenia kampanii. Nieznany kod w pliku CampaignStoreRequest.php umożliwia zdalne obejście autoryzacji. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-10234Niskie
Nieznana część pliku /webview/ w komponencie Campaign Handler w Mettle sendportal do wersji 3.0.1 jest podatna na atak XSS poprzez manipulację argumentem content. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in mettle sendportal up to 3.0.1. This issue affects the function sendgrid/postmark/postal/mailjet of the component APIv1 Webhooks. The manipulation leads to missing authentication. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used. The project was informed of the problem early through an issue report but has not responded yet.