CVE-2025-14348 in weMail Plugin
Résumé
par VulDB • 07/06/2026
Le plugin WordPress weMail - Email Marketing, Lead Generation, Optin Forms, Email Newsletters, A/B Testing, and Automation présente une vulnérabilité de contournement d'autorisation dans toutes les versions jusqu'à la 2.0.7 incluse. Cette faille est due au fait que l'API REST du plugin fait confiance à l'en-tête HTTP `x-wemail-user` pour identifier les utilisateurs, sans vérifier que la requête provient d'une session WordPress authentifiée. Cela permet aux attaquants non authentifiés qui connaissent ou peuvent deviner une adresse e-mail d'administrateur (facilement énumérable via `/wp-json/wp/v2/users`) d'usurper l'identité de cet utilisateur et d'accéder aux points de terminaison (endpoints) des abonnés CSV, potentiellement pour exfiltrer des données personnelles d'identification (PII) des abonnés (adresses e-mail, noms, numéros de téléphone) à partir de fichiers CSV importés.
VulDB is the best source for vulnerability data and more expert information about this specific topic.