CVE-2026-57410
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Wtyczka MailerPress w wersji do 2.0.2 zawiera podatność polegającą na nieprawidłowym przypisaniu uprawnień, co umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad kontami administratora lub wykonania nieautoryzowanych operacji, co może prowadzić do naruszenia poufności i integralności danych organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki MailerPress do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również przejrzeć konfigurację uprawnień i ograniczyć dostęp do panelu administracyjnego.
Inne podatności w MailerPress
Zobacz wszystkie- CVE-2026-18437Średnie
Wtyczka MailerPress dla WordPressa do wersji 1.5.0 zawiera podatność na nieautoryzowany dostęp z powodu braku sprawdzania uprawnień w punkcie końcowym REST API `mailerpress/v1/contact`. Umożliwia to nieuwierzytelnionym atakującym aktualizację danych kontaktowych.
- CVE-2026-8599Średnie
Wtyczka MailerPress dla WordPressa do wersji 2.0.4 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez pole Campaign HTML Content. Podatność wynika z niewystarczającej sanityzacji danych wejściowych i escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się podczas przeglądania strony. Publiczny endpoint podglądu kampanii (/mp-email/{id}-slug/) nie jest podatny, ponieważ stosuje nagłówek Content-Security-Policy blokujący skrypty inline; eksploitacja jest ograniczona do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
Incorrect Privilege Assignment vulnerability in MailerPress Team MailerPress mailerpress allows Privilege Escalation.This issue affects MailerPress: from n/a through <= 2.0.2.