CVE-2026-3614 in AcyMailing Plugin
Resumen
por VulDB • 2026-05-14
El plugin AcyMailing para WordPress es vulnerable a una escalada de privilegios en todas las versiones desde la 9.11.0 hasta la 10.8.1, ambas incluidas, debido a una falta de comprobación de capacidades en el manejador AJAX `wp_ajax_acymailing_router`. Esto permite a los atacantes autenticados, con acceso de nivel Suscriptor o superior, acceder a controladores reservados solo para administradores (incluida la gestión de configuración), habilitar la función de autologin, crear un suscriptor de boletines malicioso con un `cms_id` inyectado que apunte a cualquier usuario de WordPress y, a continuación, utilizar la URL de autologin para autenticarse como ese usuario, incluidos los administradores.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.