Podatności AcyMailing
4 znanych podatności CVE w AcyMailing, przetłumaczonych i ocenionych.
- CVE-2026-77807Wysokie
Wtyczka AcyMailing dla WordPressa w wersjach do 11.0.4 włącznie jest podatna na Directory Traversal poprzez parametr `user[name]`. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików na serwerze. Wykorzystanie wymaga włączonej opcji "Embed images" w konfiguracji AcyMailing.
- CVE-2026-15426Wysokie
Wtyczka AcyMailing dla WordPressa do wersji 10.11.1 włącznie ma podatność na obejście autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może nadpisać pole BCC szablonu powiadomienia acy_notification_cms, co powoduje, że e-maile z resetem hasła WordPressa, w tym te kierowane do administratorów, są po cichu kopiowane na adres kontrolowany przez atakującego, umożliwiając przejęcie konta.
- CVE-2026-56292Wysokie
Podatność SQL Injection w rozszerzeniu AcyMailing dla Joomla w wersjach poniżej 10.11.1 umożliwia nieautoryzowany dostęp do bazy danych i wyciek danych.
- CVE-2026-12170Średnie
Wtyczka AcyMailing dla WordPressa do wersji 10.10.2 włącznie zawiera podatność na trwałe ataki XSS przez atrybut 'alignment'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdym dostępie do zainfekowanej strony.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS