CVE-2026-57394
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Newsletters dla WordPressa (wersje do 4.14) zawiera podatność na odbity atak XSS. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania stron internetowych umożliwia wstrzyknięcie złośliwego skryptu.
Ocena ryzyka
Atakujący może wysłać do administratora lub użytkownika specjalnie spreparowany link, który po kliknięciu wykona dowolny kod JavaScript w kontekście sesji ofiary. Może to prowadzić do kradzieży ciasteczek, przejęcia sesji lub modyfikacji treści strony.
Rekomendacja
Należy niezwłocznie zaktualizować wtyczkę Newsletters do wersji 4.15 lub nowszej, która zawiera poprawkę eliminującą podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę.
Inne podatności w Newsletters
Zobacz wszystkie- CVE-2026-17522Niskie ryzyko· EPSS 1%
Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie wykonuje żadnej kontroli nonce ani uprawnień podczas zapisywania jednego z ekranów ustawień i zapisuje każdy przesłany parametr do własnych opcji. Umożliwia to atakującym nakłonienie zalogowanego administratora do nadpisania dowolnych ustawień wtyczki, w tym poświadczeń chroniących jej API, poprzez atak Cross-Site Request Forgery.
- CVE-2026-17520Niskie ryzyko· EPSS 1%
Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie generuje klucza API przy użyciu wystarczająco losowego źródła, wyprowadzając go z publicznie znanej wartości. Umożliwia to nieuwierzytelnionym atakującym obliczenie klucza i wykonywanie uprzywilejowanych działań, takich jak dodawanie i usuwanie subskrybentów oraz wysyłanie e-maili, gdy opcjonalne API zostało włączone.
- CVE-2026-75908Średnie
Wtyczka Newsletters dla WordPress do wersji 4.17 jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami autora i wyższymi mogą wysyłać dowolne newslettery do użytkowników dowolnej roli, w tym administratorów, poprzez sfałszowanie pól POST podczas normalnego przesyłania posta. Atakujący może przekazać slug roli przez pole newsletters_mailinglistsroles, co pozwala na nieautoryzowane masowe wysyłki i potencjalny phishing.
- CVE-2026-16269Średnie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie porównuje ściśle klucza uwierzytelniającego API, co pozwala nieuwierzytelnionym atakującym ominąć uwierzytelnianie API przez type juggling i wykonywać uprzywilejowane działania, takie jak modyfikowanie rekordów subskrybentów i wysyłanie e-maili, gdy opcjonalne API jest włączone.
- CVE-2026-16267Wysokie
Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie ogranicza klas dozwolonych podczas deserializacji wartości pochodzącej z publicznego formularza, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne obiekty PHP.
- CVE-2026-3018Wysokie
Wtyczka Newsletters dla WordPressa do wersji 4.13 zawiera podatność na czasowe wstrzykiwanie SQL przez parametr 'wpmlsubscriber_id'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy danych.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Tribulant Software Newsletters newsletters-lite allows Reflected XSS.This issue affects Newsletters: from n/a through <= 4.14.