CVE-2026-95588
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka AcyMailing SMTP Newsletter w wersjach do 11.0.5 zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu usunięcie dowolnego pliku. Atakujący może wykorzystać tę podatność do usunięcia krytycznych plików systemowych lub aplikacji.
Ocena ryzyka
Ryzyko całkowitej utraty danych lub awarii systemu w wyniku usunięcia krytycznych plików, co może prowadzić do przerwy w działaniu usług.
Rekomendacja
Zaktualizuj wtyczkę AcyMailing SMTP Newsletter do najnowszej wersji. Dodatkowo ogranicz dostęp do plików i zastosuj mechanizmy walidacji ścieżek.
Inne podatności w AcyMailing SMTP Newsletter
Zobacz wszystkie- CVE-2026-105318Wysokie
Podatność typu Reflected XSS w rozszerzeniu AcyMailing SMTP Newsletter dla WordPressa. Brak neutralizacji danych wejściowych podczas generowania strony umożliwia atakującemu wstrzyknięcie złośliwego skryptu.
- CVE-2026-94389Krytyczne
Wtyczka AcyMailing SMTP Newsletter w wersjach do 11.0.5 włącznie jest podatna na nieuwierzytelnione zdalne wykonanie kodu (RCE). Atakujący może wykonać dowolny kod bez uwierzytelnienia.
- CVE-2026-57739Krytyczne
Wtyczka AcyMailing SMTP Newsletter dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 10.11.0 włącznie.
- CVE-2026-28182Średnie
Podatność Cross Site Scripting (XSS) wtyczki AcyMailing SMTP Newsletter w wersjach do 10.11.1, wykorzystywana przez użytkownika z rolą Subscriber.
- CVE-2026-28181Średnie
Podatność Broken Access Control w wtyczce AcyMailing SMTP Newsletter do wersji 10.11.1 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2026-57741Wysokie
Wtyczka AcyMailing SMTP Newsletter dla WordPressa zawiera podatność na trwały atak XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 10.11.0 włącznie.
- CVE-2026-57740Wysokie
Wtyczka AcyMailing SMTP Newsletter dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 10.11.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Arbitrary File Deletion in AcyMailing SMTP Newsletter <= 11.0.5 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS