CVE-2026-3018
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
Wtyczka Newsletters dla WordPressa do wersji 4.13 zawiera podatność na czasowe wstrzykiwanie SQL przez parametr 'wpmlsubscriber_id'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy danych.
Ocena ryzyka
Atakujący może wyodrębnić poufne informacje z bazy danych WordPress, takie jak dane użytkowników, hasła czy klucze API, co może prowadzić do dalszych ataków.
Rekomendacja
Należy zaktualizować wtyczkę Newsletters do najnowszej wersji, która zawiera poprawki zabezpieczeń. Do czasu aktualizacji warto rozważyć tymczasowe wyłączenie wtyczki.
Inne podatności w Newsletters
Zobacz wszystkie- CVE-2026-17522Niskie ryzyko· EPSS 1%
Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie wykonuje żadnej kontroli nonce ani uprawnień podczas zapisywania jednego z ekranów ustawień i zapisuje każdy przesłany parametr do własnych opcji. Umożliwia to atakującym nakłonienie zalogowanego administratora do nadpisania dowolnych ustawień wtyczki, w tym poświadczeń chroniących jej API, poprzez atak Cross-Site Request Forgery.
- CVE-2026-17520Niskie ryzyko· EPSS 1%
Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie generuje klucza API przy użyciu wystarczająco losowego źródła, wyprowadzając go z publicznie znanej wartości. Umożliwia to nieuwierzytelnionym atakującym obliczenie klucza i wykonywanie uprzywilejowanych działań, takich jak dodawanie i usuwanie subskrybentów oraz wysyłanie e-maili, gdy opcjonalne API zostało włączone.
- CVE-2026-75908Średnie
Wtyczka Newsletters dla WordPress do wersji 4.17 jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami autora i wyższymi mogą wysyłać dowolne newslettery do użytkowników dowolnej roli, w tym administratorów, poprzez sfałszowanie pól POST podczas normalnego przesyłania posta. Atakujący może przekazać slug roli przez pole newsletters_mailinglistsroles, co pozwala na nieautoryzowane masowe wysyłki i potencjalny phishing.
- CVE-2026-16269Średnie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie porównuje ściśle klucza uwierzytelniającego API, co pozwala nieuwierzytelnionym atakującym ominąć uwierzytelnianie API przez type juggling i wykonywać uprzywilejowane działania, takie jak modyfikowanie rekordów subskrybentów i wysyłanie e-maili, gdy opcjonalne API jest włączone.
- CVE-2026-16267Wysokie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie ogranicza klas dozwolonych podczas deserializacji wartości pochodzącej z publicznego formularza, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne obiekty PHP.
- CVE-2026-57394Wysokie
Wtyczka Newsletters dla WordPressa (wersje do 4.14) zawiera podatność na odbity atak XSS. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania stron internetowych umożliwia wstrzyknięcie złośliwego skryptu.
Oryginalny opis (angielski, źródło NVD)
The Newsletters plugin for WordPress is vulnerable to time-based SQL Injection via the ‘wpmlsubscriber_id’ parameter in all versions up to, and including, 4.13 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.