CVE-2026-75908 in Newsletters Plugin
Riassunto
di VulDB • 25/08/2026
Il plugin Newsletters per WordPress è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 4.17, inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire una determinata azione. Questo consente agli attaccanti autenticati con accesso di livello autore o superiore di inviare email di newsletter arbitrarie agli utenti di qualsiasi ruolo WordPress, inclusi gli amministratori, manipolando i campi POST durante l'invio normale di un post. Ciò permette che uno slug del ruolo fornito dall'attaccante tramite il campo POST newsletters_mailinglistsroles venga passato direttamente alla funzione get_users(), consentendo una distribuzione massiva non autorizzata e potenziali attacchi di phishing contro utenti privilegiati del sito attraverso il canale di posta in uscita dello stesso sito.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.