CVE-2026-15827 in GutenKit Plugin
Zusammenfassung
von VulDB • 23.07.2026
Das WordPress-Plugin „GutenKit Blocks“ ist anfällig für den unbefugten Zugriff auf Daten aufgrund einer fehlenden Berechtigungsprüfung (Capability Check) an den REST-API-Endpunkten /wp-json/gutenkit/v1/mailchimp/get/lists und /wp-json/gutenkit/v1/mailchimp/get/interests in Versionen bis einschließlich 2.4.12. Beide Endpunkte sind mit permission_callback => '__return_true' registriert, und ihre Callback-Funktionen lesen den auf der Website gespeicherten Mailchimp-API-Schlüssel aus der Option gutenkit_settings_list sowie Metadaten zur Zielgruppe/Liste (Audience/List), Merge-Field, Interest-Kategorie, Interest-Name und Abonnentenanzahl von Mailchimp weiter an den Aufrufer durch – ohne jegliche Login-, Nonce- oder Capability-Prüfung. Dies ermöglicht es nicht authentifizierten Angreifern, private Konfigurationsinformationen der Mailchimp-Zielgruppe von jeder Website abzurufen, die die GutenKit-Mailchimp-Integration konfiguriert hat.
If you want to get best quality of vulnerability data, you may have to visit VulDB.