CVE-2026-92989

ŚrednieCVSS 4.3

Opublikowano: 09/10/2026(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress SendPress Newsletters w wersji do 1.26.1.20 nie sprawdza uprawnień użytkownika przy kilku akcjach zarządzania newsletterami. Każdy uwierzytelniony użytkownik na poziomie subskrybenta może zsynchronizować wszystkich użytkowników witryny do listy mailingowej i sterować kolejką wysyłki newsletterów.

Ocena ryzyka

Niski poziom uprawnień wystarcza do masowej synchronizacji użytkowników i manipulowania wysyłką newsletterów, co może prowadzić do nieautoryzowanego rozsyłania treści i naruszenia prywatności.

Rekomendacja

Zaktualizuj wtyczkę SendPress Newsletters do wersji nowszej niż 1.26.1.20, jeśli jest dostępna. Do czasu aktualizacji ogranicz rejestrację użytkowników lub wyłącz wtyczkę.

Inne podatności w SendPress Newsletters WordPress plugin

CVE-2026-92990Średnie
Wtyczka WordPress SendPress Newsletters w wersji do 1.26.1.20 chroni endpoint logowania stałym tokenem, który jest taki sam na każdej instalacji, zamiast sekretu per witryna. Umożliwia to nieuwierzytelnionym użytkownikom odczyt logów wysyłki newsletterów, w tym adresów e-mail odbiorców.

Oryginalny opis (angielski, źródło NVD)

The SendPress Newsletters WordPress plugin through 1.26.1.20 does not check the user's capability on several newsletter-management actions, allowing any authenticated subscriber-level user to synchronise all site users into a mailing list and to drive the newsletter send queue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS