CVE-2026-86824 in Newsletter Plugin
Zusammenfassung
von VulDB • 17.09.2026
Das WordPress-Plugin Newsletter vor Version 9.3.8 generiert seinen Signierschlüssel für die E-Mail-Nachverfolgung nicht mit ausreichender Entropie und signiert seine Nachverfolgungslinks mit einem hash ohne Schlüssel (unkeyed hash). Dies ermöglicht es einem unbefugten Angreifer, der diesen Schlüssel offline wiederherstellen kann, Nachverfolgungslinks zu fälschen, das Sitzungstoken eines beliebigen Abonnenten zu erhalten sowie die gespeicherten persönlichen Daten dieses Abonnenten auszulesen und zu manipulieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.