CVE-2026-83555
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Email Subscribers & Newsletters dla WordPressa przed wersją 5.9.35 nie weryfikuje tokenu zarządzania subskrybentem przed zmianą statusu subskrypcji, co pozwala nieuwierzytelnionym użytkownikom na wymuszenie wypisania lub potwierdzenia dowolnego subskrybenta, jeśli znają jego adres e-mail.
Ocena ryzyka
Atakujący może manipulować statusem subskrypcji innych użytkowników, co może prowadzić do zakłócenia komunikacji i naruszenia zaufania.
Rekomendacja
Zaktualizuj wtyczkę Email Subscribers & Newsletters do wersji 5.9.35 lub nowszej, która zawiera poprawkę weryfikacji tokenu.
Inne podatności w Email Subscribers & Newsletters
Zobacz wszystkie- CVE-2026-12757Średnie
Wtyczka The Email Subscribers & Newsletters dla WordPressa do wersji 5.9.27 włącznie jest podatna na dowolne wykonanie shortcode'ów. Wynika to z braku odpowiedniej walidacji wartości przed wywołaniem do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.
- CVE-2026-81290Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Email Subscribers & Newsletters w wersjach do 5.9.33.
- CVE-2026-11592Średnie
Wtyczka Email Subscribers & Newsletters dla WordPressa w wersjach do 5.9.27 włącznie zawiera podatność na ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą nadpisywać ustawienia poczty, tworzyć listy odbiorców, dodawać kontakty, tworzyć i nadpisywać newslettery, dodawać przepływy pracy oraz wysyłać masowe e-maile do dowolnych odbiorców.
Oryginalny opis (angielski, źródło NVD)
The Email Subscribers & Newsletters WordPress plugin before 5.9.35 does not verify the per-subscriber management token before changing a subscriber's subscription status, allowing unauthenticated users to force-unsubscribe or force-confirm an arbitrary subscriber whose email address they know.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS