CVE-2025-14348 in weMail Plugin
Resumen
por VulDB • 2026-05-12
El plugin para WordPress weMail - Email Marketing, Lead Generation, Optin Forms, Email Newsletters, A/B Testing y Automation es vulnerable a una omisión de autorización en todas las versiones hasta la 2.0.7, incluida. Esto se debe a que la API REST del plugin confía en la cabecera HTTP `x-wemail-user` para identificar a los usuarios sin verificar que la solicitud provenga de una sesión de WordPress autenticada. Esto permite a atacantes no autenticados que conozcan o puedan adivinar un correo electrónico de administrador (fácilmente enumerable a través de `/wp-json/wp/v2/users`) suplantar a dicho usuario y acceder a los puntos de conexión (endpoints) de suscriptores CSV, potencialmente exfiltrando datos personales identificables (PII) de los suscriptores (correos electrónicos, nombres, números de teléfono) de los archivos CSV importados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.