CVE-2026-8599
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka MailerPress dla WordPressa do wersji 2.0.4 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez pole Campaign HTML Content. Podatność wynika z niewystarczającej sanityzacji danych wejściowych i escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się podczas przeglądania strony. Publiczny endpoint podglądu kampanii (/mp-email/{id}-slug/) nie jest podatny, ponieważ stosuje nagłówek Content-Security-Policy blokujący skrypty inline; eksploitacja jest ograniczona do panelu administracyjnego.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w kontekście sesji administratora, co może prowadzić do kradzieży sesji, modyfikacji treści lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki MailerPress do najnowszej dostępnej wersji, która zawiera poprawkę.
Inne podatności w MailerPress
Zobacz wszystkie- CVE-2026-18437Średnie
Wtyczka MailerPress dla WordPressa do wersji 1.5.0 zawiera podatność na nieautoryzowany dostęp z powodu braku sprawdzania uprawnień w punkcie końcowym REST API `mailerpress/v1/contact`. Umożliwia to nieuwierzytelnionym atakującym aktualizację danych kontaktowych.
- CVE-2026-57410Wysokie
Wtyczka MailerPress w wersji do 2.0.2 zawiera podatność polegającą na nieprawidłowym przypisaniu uprawnień, co umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.
Oryginalny opis (angielski, źródło NVD)
The MailerPress – Email Marketing, Newsletter, Email Automation & WooCommerce Emails plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Campaign HTML Content Field in all versions up to, and including, 2.0.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The public-facing campaign preview endpoint (/mp-email/{id}-slug/) is not affected by this vulnerability, as it applies a Content-Security-Policy header blocking all inline scripts; exploitation is limited to the admin dashboard preview.