CVE-2026-107759 in Microsoft 365 Graph Mailer Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das WPO365 | MICROSOFT 365 GRAPH MAILER-Plugin für WordPress ist in allen Versionen bis einschließlich 6.2 aufgrund unzureichender Eingabebereinigung und Output-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'Subject (via wp_mail/PHPMailer, z.B. CF7 your-subject)'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Die Payload wird ohne Authentifizierung über jede E-Mail-Sende-Funktion gespeichert, die ein vom Absender kontrolliertes Betreff weiterleitet (z.B. ein Contact Form 7-Formular), wenn der Graph Mailer aktiviert ist, aber die OAuth-Autorisierung noch nicht abgeschlossen wurde – was dem Standardzustand unmittelbar nach der Plugin-Aktivierung entspricht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.