CVE-2026-92990

ŚrednieCVSS 5.3

Opublikowano: 09/10/2026(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress SendPress Newsletters w wersji do 1.26.1.20 chroni endpoint logowania stałym tokenem, który jest taki sam na każdej instalacji, zamiast sekretu per witryna. Umożliwia to nieuwierzytelnionym użytkownikom odczyt logów wysyłki newsletterów, w tym adresów e-mail odbiorców.

Ocena ryzyka

Ujawnienie adresów e-mail odbiorców może naruszać prywatność i przepisy o ochronie danych (np. RODO) oraz ułatwiać ataki phishingowe.

Rekomendacja

Zaktualizuj wtyczkę SendPress Newsletters do wersji nowszej niż 1.26.1.20, jeśli jest dostępna. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie dostępu do endpointu logowania.

Inne podatności w SendPress Newsletters WordPress plugin

CVE-2026-92989Średnie
Wtyczka WordPress SendPress Newsletters w wersji do 1.26.1.20 nie sprawdza uprawnień użytkownika przy kilku akcjach zarządzania newsletterami. Każdy uwierzytelniony użytkownik na poziomie subskrybenta może zsynchronizować wszystkich użytkowników witryny do listy mailingowej i sterować kolejką wysyłki newsletterów.

Oryginalny opis (angielski, źródło NVD)

The SendPress Newsletters WordPress plugin through 1.26.1.20 protects a logging endpoint with a hardcoded token that is the same on every site rather than a per-site secret, allowing unauthenticated users to read newsletter sending logs, including recipient email addresses.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS