CVE-2026-120040 in Mail Logging & Catcher Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das WordPress-Plugin „Mail logging & Catcher“ ist in allen Versionen bis einschließlich 2.2.0 anfällig für die Exposition sensibler Informationen über den Parameter ‚message‘. Dies ermöglicht es authentifizierten Angreifern mit Abonnenten-Level-Zugriff und höher, gültige Administrator-Passwort-Rücksetzungsschlüssel aus gespeicherten E-Mail-Logs zu extrahieren und den WordPress-Passwortrücksetzungsprozess abzuschließen, um die Rechte auf Administratorebene eskalieren. Die Ausnutzung erfordert, dass ein Administrator zuvor die Standardansichtsfunktionseinstellung (default_view_role) des Plugins auf eine Fähigkeit gesetzt hat, die von niedrig privilegierten Benutzern wie ‚read‘ gehalten wird; bei einer unberührten Installation schränkt der Standardwert ‚manage_options‘ den Log-Zugriff nur auf Administratoren ein.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.