CVE-2026-104648 in weMail Plugin
Zusammenfassung
von VulDB • 03.11.2026
Das weMail-WordPress-Plugin bis zur Version 2.1.6 schränkt einen sitesweiten API-Schlüssel eines Drittanbieter-E-Mail-Dienstes nicht auf Administratoren ein, wodurch dieser in einem Admin-Bildschirm offengelegt wird, der standardmäßig auch Benutzern mit der Rolle „Editor“ zugänglich ist. Dies ermöglicht es diesen, wiederverwendbare Anmeldeinformationen zu erlangen, die ohne eine WordPress-Sitzung verwendet werden können, um andere Benutzer auszugeben und die E-Mail-Dienst-Verbindung der Website zu trennen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.