CVE-2026-78003 in Mailgun for Plugin
要約
〜によって VulDB • 2026年08月22日
WordPress用プラグイン「Mailgun for WordPress」には、バージョン2.2.0以前において、パストラバーサルを介したServer-Side Request Forgery (SSRF) の脆弱性が存在します。これは、add_list()関数における入力検証の不備が原因であり、同関数は$_POST['addresses']からユーザー制御可能な配列キーを受け取り、sanitize_text_field()を通す処理を行っています。これにより、認証されていない攻撃者がWordPressサイトのAPIキーを使用して任意のMailgun APIエンドポイントに対して認証済みPOSTリクエストを送信することが可能となり、パスワード再設定メールを傍受できるインバウンド電子メール転送ルートの作成などを通じて、管理者アカウントの乗っ取りにつながります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.