CVE-2026-16268
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie uwierzytelnia ani nie weryfikuje żądania przetwarzania zwrotów (bounce), zanim pobierze adres URL podany przez użytkownika po stronie serwera. Pozwala to nieuwierzytelnionym atakującym na wysyłanie żądań do dowolnych wewnętrznych lub zewnętrznych hostów.
Ocena ryzyka
Atakujący może wykorzystać serwer do skanowania wewnętrznej sieci lub atakowania zewnętrznych systemów, co może prowadzić do naruszenia bezpieczeństwa i reputacji.
Rekomendacja
Zaktualizuj wtyczkę Newsletters do najnowszej wersji, która zawiera poprawkę. Dodatkowo ogranicz dostęp do funkcji przetwarzania zwrotów tylko dla uwierzytelnionych użytkowników.
Inne podatności w Newsletters WordPress plugin
Zobacz wszystkie- CVE-2026-16264Średnie
Wtyczka WordPress Newsletters w wersji przed 4.18.1 nie sprawdza właściciela w niektórych akcjach zarządzania subskrybentami oraz przyznaje sesję zarządzania niezalogowanym odwiedzającym na żądanie. Umożliwia to atakującym odczyt danych osobowych dowolnego subskrybenta oraz nadpisanie jego rekordu, w tym adresu e-mail.
- CVE-2026-12583Wysokie
Wtyczka Newsletters dla WordPress przed wersją 4.15 nie zabezpiecza przed deserializacją niezaufanych danych wprowadzanych przez publiczny formularz. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP i, poprzez łańcuch gadżetów zorientowanych na właściwości, zapisanie dowolnych plików i wykonanie kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
The Newsletters WordPress plugin before 4.16 does not authenticate or validate a bounce-processing request before fetching a user-supplied URL on the server side, allowing unauthenticated attackers to make the site issue requests to arbitrary internal or external hosts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS