CVE-2026-16264
ŚrednieCVSS 6.5Streszczenie
Wtyczka WordPress Newsletters w wersji przed 4.18.1 nie sprawdza właściciela w niektórych akcjach zarządzania subskrybentami oraz przyznaje sesję zarządzania niezalogowanym odwiedzającym na żądanie. Umożliwia to atakującym odczyt danych osobowych dowolnego subskrybenta oraz nadpisanie jego rekordu, w tym adresu e-mail.
Ocena ryzyka
Atakujący może bez uwierzytelnienia uzyskać dostęp do danych osobowych subskrybentów i modyfikować ich rekordy, co stanowi naruszenie poufności i integralności danych oraz może prowadzić do przejęcia komunikacji e-mail.
Rekomendacja
Zaktualizuj wtyczkę Newsletters do wersji 4.18.1 lub nowszej. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie dostępu do jej funkcji zarządzania subskrybentami.
Inne podatności w Newsletters WordPress plugin
Zobacz wszystkie- CVE-2026-16268Wysokie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie uwierzytelnia ani nie weryfikuje żądania przetwarzania zwrotów (bounce), zanim pobierze adres URL podany przez użytkownika po stronie serwera. Pozwala to nieuwierzytelnionym atakującym na wysyłanie żądań do dowolnych wewnętrznych lub zewnętrznych hostów.
- CVE-2026-12583Wysokie
Wtyczka Newsletters dla WordPress przed wersją 4.15 nie zabezpiecza przed deserializacją niezaufanych danych wprowadzanych przez publiczny formularz. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP i, poprzez łańcuch gadżetów zorientowanych na właściwości, zapisanie dowolnych plików i wykonanie kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
The Newsletters WordPress plugin before 4.18.1 does not perform an ownership check on some of its subscriber management actions, and issues a management session to unauthenticated visitors on request, allowing attackers to read any subscriber's personal data and overwrite any subscriber's record including their email address.