CVE-2026-86823
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Newsletter w wersji przed 9.3.7 nie weryfikuje celu przekierowania po publicznej akcji subskrypcji. Nieuwierzytelnieni atakujący mogą przekierowywać użytkowników na dowolne zewnętrzne strony oraz ujawnić token subskrybenta, który daje dostęp do akcji front-endowych tego rekordu subskrybenta.
Ocena ryzyka
Ujawnienie tokenu subskrybenta pozwala na manipulowanie danymi subskrybenta, a otwarte przekierowania mogą być wykorzystane w kampaniach phishingowych. Może to prowadzić do utraty zaufania i naruszenia danych osobowych.
Rekomendacja
Zaktualizuj wtyczkę Newsletter do wersji 9.3.7 lub nowszej. Rozważ unieważnienie istniejących tokenów subskrybentów po aktualizacji.
Inne podatności w Newsletter
Zobacz wszystkie- CVE-2026-90981Średnie
Wtyczka Newsletter – Send awesome emails from WordPress dla WordPress jest podatna na odbite Cross-Site Scripting poprzez parametr 'nn' we wszystkich wersjach do 9.3.8 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać skrypty, jeśli nakłonią użytkownika do kliknięcia linku.
- CVE-2026-66596Wysokie
Nieuwierzytelnione podatność na Cross Site Scripting (XSS) w wtyczce Newsletter w wersjach do 9.3.3. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Oryginalny opis (angielski, źródło NVD)
The Newsletter WordPress plugin before 9.3.7 does not validate the destination of the redirect performed after a public subscription action, allowing unauthenticated attackers to redirect users to arbitrary external sites and to disclose a subscriber token that grants access to that subscriber record's front-end actions.