CVE-2026-18044
NiskieCVSS 3.7Streszczenie
Wtyczka Estatik Real Estate dla WordPressa przed wersją 4.3.4 nie weryfikuje listy odbiorców wiadomości wysyłanych przez formularz zapytania o nieruchomość, co pozwala nieuwierzytelnionym użytkownikom na wysyłanie e-maili do dowolnych odbiorców z dowolnym tematem, treścią i adresem Reply-To, gdy formularz jest skonfigurowany do wysyłki na niestandardowy adres.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wysyłania spamu lub phishingu z serwera, co może zaszkodzić reputacji organizacji i narazić użytkowników na oszustwa.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 4.3.4 lub nowszej oraz sprawdzenie konfiguracji formularza pod kątem nieautoryzowanego użycia.
Oryginalny opis (angielski, źródło NVD)
The Estatik Real Estate Plugin WordPress plugin before 4.3.4 does not validate the same recipient list that it later uses to address the message sent by its property request form, allowing unauthenticated users to send emails to arbitrary recipients with arbitrary subject, body and Reply-To on sites where the form is configured to route to a custom address.