CVE-2026-3614 in AcyMailing Plugin
要約
〜によって VulDB • 2026年05月30日
WordPress用プラグインAcyMailingは、`wp_ajax_acymailing_router` AJAXハンドラにおける権限チェックの欠如により、バージョン9.11.0から10.8.1（両方含む）までの全バージョンで権限昇格の脆弱性があります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済み攻撃者は、管理者専用のコントローラ（設定管理を含む）にアクセスし、自動ログイン機能を有効化し、任意のWordPressユーザーを指す注入された`cms_id`を持つ悪意のあるニュースレター購読者を作成し、その後自動ログインURLを使用してそのユーザー、管理者を含む他のユーザーとして認証することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.