CVE-2026-66619

Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie wykonuje żadnej kontroli nonce ani uprawnień podczas zapisywania jednego z ekranów ustawień i zapisuje każdy przesłany parametr do własnych opcji. Umożliwia to atakującym nakłonienie zalogowanego administratora do nadpisania dowolnych ustawień wtyczki, w tym poświadczeń chroniących jej API, poprzez atak Cross-Site Request Forgery.

Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie generuje klucza API przy użyciu wystarczająco losowego źródła, wyprowadzając go z publicznie znanej wartości. Umożliwia to nieuwierzytelnionym atakującym obliczenie klucza i wykonywanie uprzywilejowanych działań, takich jak dodawanie i usuwanie subskrybentów oraz wysyłanie e-maili, gdy opcjonalne API zostało włączone.

Wtyczka Newsletters dla WordPress do wersji 4.17 jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z uprawnieniami autora i wyższymi mogą wysyłać dowolne newslettery do użytkowników dowolnej roli, w tym administratorów, poprzez sfałszowanie pól POST podczas normalnego przesyłania posta. Atakujący może przekazać slug roli przez pole newsletters_mailinglistsroles, co pozwala na nieautoryzowane masowe wysyłki i potencjalny phishing.

Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie porównuje ściśle klucza uwierzytelniającego API, co pozwala nieuwierzytelnionym atakującym ominąć uwierzytelnianie API przez type juggling i wykonywać uprzywilejowane działania, takie jak modyfikowanie rekordów subskrybentów i wysyłanie e-maili, gdy opcjonalne API jest włączone.

Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie ogranicza klas dozwolonych podczas deserializacji wartości pochodzącej z publicznego formularza, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne obiekty PHP.

Wtyczka Newsletters dla WordPressa (wersje do 4.14) zawiera podatność na odbity atak XSS. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania stron internetowych umożliwia wstrzyknięcie złośliwego skryptu.

Wtyczka Newsletters dla WordPressa do wersji 4.13 zawiera podatność na czasowe wstrzykiwanie SQL przez parametr 'wpmlsubscriber_id'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy danych.