CVE-2026-78003 in Mailgun for Plugin
Zusammenfassung
von VulDB • 22.08.2026
Das Plugin „Mailgun for WordPress“ für WordPress ist in den Versionen bis einschließlich 2.2.0 anfällig für Server-Side Request Forgery (SSRF) durch Pfadtraversal. Dies liegt an einer unzureichenden Eingabevalidierung in der Funktion `add_list()`, die benutzerkontrollierte Array-Keys aus `$_POST['addresses']` akzeptiert und diese durch `sanitize_text_field()` leitet. Dadurch ist es nicht authentifizierten Angreifern möglich, authentifizierte POST-Anfragen an beliebige Mailgun-API-Endpunkte unter Verwendung des API-Schlüssels der WordPress-Seite zu senden, einschließlich dem Erstellen von eingehenden E-Mail-Weiterleitungs-Routen, die Passwort-Zurücksetzungs-E-Mails abfangen können, was zur Übernahme von Administrator-Konten führt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.