CVE-2026-16269
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie porównuje ściśle klucza uwierzytelniającego API, co pozwala nieuwierzytelnionym atakującym ominąć uwierzytelnianie API przez type juggling i wykonywać uprzywilejowane działania, takie jak modyfikowanie rekordów subskrybentów i wysyłanie e-maili, gdy opcjonalne API jest włączone.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad funkcjami API, co może prowadzić do naruszenia danych subskrybentów, wysyłania spamu lub phishingu w imieniu organizacji, a także do utraty zaufania klientów.
Rekomendacja
Zaktualizuj wtyczkę Newsletters do wersji 4.16 lub nowszej, która zawiera poprawkę ścisłego porównania klucza. Jeśli API nie jest używane, rozważ jego wyłączenie.
Oryginalny opis (angielski, źródło NVD)
The Newsletters WordPress plugin before 4.16 does not strictly compare its API authentication key, allowing unauthenticated attackers to bypass the API authentication via type juggling and perform privileged actions such as modifying subscriber records and sending emails, when the optional API has been enabled.