CVE-2026-17520
Niskie ryzyko· EPSS 1%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie generuje klucza API przy użyciu wystarczająco losowego źródła, wyprowadzając go z publicznie znanej wartości. Umożliwia to nieuwierzytelnionym atakującym obliczenie klucza i wykonywanie uprzywilejowanych działań, takich jak dodawanie i usuwanie subskrybentów oraz wysyłanie e-maili, gdy opcjonalne API zostało włączone.
Ocena ryzyka
Nieautoryzowany dostęp do API może prowadzić do naruszenia danych subskrybentów, wysyłania niechcianych wiadomości i utraty zaufania do usługi newslettera.
Rekomendacja
Zaktualizuj wtyczkę Newsletters do wersji 4.17 lub nowszej, która zawiera poprawkę.
Inne podatności w Newsletters
Zobacz wszystkie- CVE-2026-17522Niskie ryzyko· EPSS 1%
Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie wykonuje żadnej kontroli nonce ani uprawnień podczas zapisywania jednego z ekranów ustawień i zapisuje każdy przesłany parametr do własnych opcji. Umożliwia to atakującym nakłonienie zalogowanego administratora do nadpisania dowolnych ustawień wtyczki, w tym poświadczeń chroniących jej API, poprzez atak Cross-Site Request Forgery.
- CVE-2026-75908Średnie
Wtyczka Newsletters dla WordPress do wersji 4.17 jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami autora i wyższymi mogą wysyłać dowolne newslettery do użytkowników dowolnej roli, w tym administratorów, poprzez sfałszowanie pól POST podczas normalnego przesyłania posta. Atakujący może przekazać slug roli przez pole newsletters_mailinglistsroles, co pozwala na nieautoryzowane masowe wysyłki i potencjalny phishing.
- CVE-2026-16269Średnie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie porównuje ściśle klucza uwierzytelniającego API, co pozwala nieuwierzytelnionym atakującym ominąć uwierzytelnianie API przez type juggling i wykonywać uprzywilejowane działania, takie jak modyfikowanie rekordów subskrybentów i wysyłanie e-maili, gdy opcjonalne API jest włączone.
- CVE-2026-16267Wysokie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie ogranicza klas dozwolonych podczas deserializacji wartości pochodzącej z publicznego formularza, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne obiekty PHP.
- CVE-2026-57394Wysokie
Wtyczka Newsletters dla WordPressa (wersje do 4.14) zawiera podatność na odbity atak XSS. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania stron internetowych umożliwia wstrzyknięcie złośliwego skryptu.
- CVE-2026-3018Wysokie
Wtyczka Newsletters dla WordPressa do wersji 4.13 zawiera podatność na czasowe wstrzykiwanie SQL przez parametr 'wpmlsubscriber_id'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The Newsletters WordPress plugin before 4.17 does not generate its API key using a sufficiently random source, deriving it from a publicly known value, allowing unauthenticated attackers to compute the key and perform privileged actions such as adding and deleting subscribers and sending emails, when the optional API has been enabled.