CVE-2026-28182
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) wtyczki AcyMailing SMTP Newsletter w wersjach do 10.11.1, wykorzystywana przez użytkownika z rolą Subscriber.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę AcyMailing SMTP Newsletter do najnowszej wersji, która zawiera poprawkę.
Inne podatności w AcyMailing SMTP Newsletter
Zobacz wszystkie- CVE-2026-105318Wysokie
Podatność typu Reflected XSS w rozszerzeniu AcyMailing SMTP Newsletter dla WordPressa. Brak neutralizacji danych wejściowych podczas generowania strony umożliwia atakującemu wstrzyknięcie złośliwego skryptu.
- CVE-2026-94389Krytyczne
Wtyczka AcyMailing SMTP Newsletter w wersjach do 11.0.5 włącznie jest podatna na nieuwierzytelnione zdalne wykonanie kodu (RCE). Atakujący może wykonać dowolny kod bez uwierzytelnienia.
- CVE-2026-57739Krytyczne
Wtyczka AcyMailing SMTP Newsletter dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 10.11.0 włącznie.
- CVE-2026-95588Wysokie
Wtyczka AcyMailing SMTP Newsletter w wersjach do 11.0.5 zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu usunięcie dowolnego pliku. Atakujący może wykorzystać tę podatność do usunięcia krytycznych plików systemowych lub aplikacji.
- CVE-2026-28181Średnie
Podatność Broken Access Control w wtyczce AcyMailing SMTP Newsletter do wersji 10.11.1 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2026-57741Wysokie
Wtyczka AcyMailing SMTP Newsletter dla WordPressa zawiera podatność na trwały atak XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 10.11.0 włącznie.
- CVE-2026-57740Wysokie
Wtyczka AcyMailing SMTP Newsletter dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 10.11.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
Subscriber Cross Site Scripting (XSS) in AcyMailing SMTP Newsletter <= 10.11.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS