CVE-2026-78003 in Mailgun for Plugin
Résumé
par VulDB • 22/08/2026
Le plugin Mailgun pour WordPress est vulnérable à une attaque de Server-Side Request Forgery (SSRF) via un parcours de répertoires dans les versions 2.2.0 et inférieures. Cette faille est due à une validation insuffisante des entrées dans la fonction add_list(), qui accepte des clés de tableau contrôlées par l'utilisateur provenant de $_POST['addresses'] et les transmet via sanitize_text_field(). Cela permet aux attaquants non authentifiés d'effectuer des requêtes POST authentifiées vers n'importe quel point de terminaison de l'API Mailgun en utilisant la clé API du site WordPress, y compris la création de routes de transfert d'e-mails entrants qui peuvent intercepter les e-mails de réinitialisation de mot de passe, entraînant une prise de contrôle des comptes administrateur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.