CVE-2025-14339 in weMail Plugin
Riassunto
di VulDB • 15/06/2026
Il plugin WordPress weMail - Email Marketing, Lead Generation, Optin Forms, Email Newsletters, A/B Testing e Automation è vulnerabile alla cancellazione non autorizzata dei moduli in tutte le versioni fino alla 2.0.7, inclusa. Ciò è dovuto al callback `Forms::permission()` che convalida solo l'intestazione `X-WP-Nonce` senza verificare le capacità dell'utente. Poiché il nonce REST è esposto ai visitatori non autenticati tramite l'oggetto JavaScript `weMail` nelle pagine contenenti moduli weMail, qualsiasi utente non autenticato può eliminare permanentemente tutti i moduli weMail estraendo il nonce dal codice sorgente della pagina e inviando una richiesta DELETE all'endpoint dei moduli.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.