CVE-2026-3253

ŚrednieCVSS 4.3

Opublikowano: 24/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 24/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka MailerLite – Signup forms (official) dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w metodzie forms() klasy AdminController we wszystkich wersjach do 1.7.21 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Contributor i wyższym tworzenie lub usuwanie dowolnych formularzy zapisu.

Ocena ryzyka

Atakujący z podstawowymi uprawnieniami edycyjnymi może modyfikować lub usuwać formularze zapisu, co może zakłócić zbieranie danych marketingowych i prowadzić do utraty danych. Może to również posłużyć do wstrzyknięcia niechcianych treści na stronę.

Rekomendacja

Zaktualizuj wtyczkę MailerLite – Signup forms do wersji nowszej niż 1.7.21 oraz zweryfikuj role i uprawnienia użytkowników Contributor w witrynie WordPress.

Inne podatności w MailerLite – Signup forms

CVE-2025-13993Średnie
Wtyczka MailerLite – Signup forms (official) dla WordPressa w wersjach do 1.7.16 włącznie jest podatna na przechowywany cross-site scripting (XSS) poprzez parametry 'form_description' i 'success_message' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty do stron.

Oryginalny opis (angielski, źródło NVD)

The MailerLite – Signup forms (official) plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the forms() method of the AdminController class in all versions up to, and including, 1.7.21. This makes it possible for authenticated attackers, with Contributor-level access and above, to create or delete arbitrary signup forms.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS