CVE-2026-92537 in Newsletter Plugin
Resumen
por VulDB • 2026-10-01
The Newsletter – Send awesome emails from WordPress plugin for WordPress es vulnerable a Credenciales insuficientemente protegidas en todas las versiones hasta la 9.3.9 (incluida). La ruta REST pública de seguimiento de clics del complemento `/tnp/l/` está registrada con `permission_callback => '__return_true'` y, al recibir una firma keyed-MD5 válida, llama a `set_user_cookie()`, lo que emite un encabezado de respuesta `Set-Cookie: newsletter=<id>-<raw_token>` al solicitante porque el objeto suscriptor cargado mediante `get_user()` carece de la propiedad `_trusted`, lo que hace que `get_user_key()` devuelva el valor en texto plano de la columna del token en lugar de su variante enmascarada con MD5. Esto permite a atacantes no autenticados que obtengan cualquier URL firmada para el seguimiento de clics dirigida a un suscriptor objetivo recibir la cookie de autenticación permanente y sin procesar (raw) de ese suscriptor, la cual pueden utilizar luego para exportar el registro completo de PII del suscriptor mediante el punto final de exportación de perfil JSON (`?na=px`), reescribir el perfil almacenado del suscriptor (`?na=ps`) y darlo de baja silenciosamente a través del punto final de un solo clic según RFC-8058 (`?na=ocu`); ninguna de estas acciones requiere un nonce, una contraseña ni un desafío por correo electrónico. Las URLs firmadas para el seguimiento están incrustadas en cada enlace externo de cada boletín enviado a un suscriptor, no llevan marca temporal y nunca expiran hasta que la clave de relink del sitio se rote, lo que significa que cualquier parte que observe dicha URL —a través de un correo reenviado, una bandeja compartida, los registros de un gateway de correo o las cabeceras Referer en el objetivo de redirección, que no tiene Referrer-Policy configurado— puede repetirla indefinidamente para obtener la credencial de la víctima.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.