CVE-2026-18437
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka MailerPress dla WordPressa do wersji 1.5.0 zawiera podatność na nieautoryzowany dostęp z powodu braku sprawdzania uprawnień w punkcie końcowym REST API `mailerpress/v1/contact`. Umożliwia to nieuwierzytelnionym atakującym aktualizację danych kontaktowych.
Ocena ryzyka
Atakujący może modyfikować dane kontaktowe bez autoryzacji, co może prowadzić do naruszenia integralności danych i potencjalnych ataków phishingowych.
Rekomendacja
Zaktualizuj wtyczkę MailerPress do najnowszej wersji, która zawiera poprawki zabezpieczeń.
Inne podatności w MailerPress
Zobacz wszystkie- CVE-2026-57410Wysokie
Wtyczka MailerPress w wersji do 2.0.2 zawiera podatność polegającą na nieprawidłowym przypisaniu uprawnień, co umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.
- CVE-2026-8599Średnie
Wtyczka MailerPress dla WordPressa do wersji 2.0.4 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez pole Campaign HTML Content. Podatność wynika z niewystarczającej sanityzacji danych wejściowych i escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się podczas przeglądania strony. Publiczny endpoint podglądu kampanii (/mp-email/{id}-slug/) nie jest podatny, ponieważ stosuje nagłówek Content-Security-Policy blokujący skrypty inline; eksploitacja jest ograniczona do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
The MailerPress – Newsletter, email marketing & AI automation plugin for WordPress is vulnerable to unauthorized access due to a missing capability check on the `mailerpress/v1/contact` endpoint in all versions up to, and including, 1.5.0. This makes it possible for unauthenticated attackers to update contact details.