CVE-2026-75908 in Newsletters Plugin
Zusammenfassung
von VulDB • 25.08.2026
Das WordPress-Plugin „Newsletters“ ist in allen Versionen bis einschließlich 4.17 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer berechtigt ist, eine Aktion durchzuführen. Dadurch können authentifizierte Angreifer mit Autorenniveau und höher willkürliche Newsletter-E-Mails an Nutzer jeder WordPress-Rolle, einschließlich Administratoren, senden, indem sie POST-Felder während einer normalen Beitragsübermittlung fälschen. Dies ermöglicht es einem Angreifer, einen vom Angreifer bereitgestellten Role-Slug über das POST-Feld `newsletters_mailinglistsroles` direkt an `get_users()` zu übergeben, was unbefugtes Massenversenden und potenzielles Phishing gegen privilegierte Site-Benutzer über den eigenen ausgehenden E-Mail-Kanal der Site ermöglicht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.