CVE-2026-75908 in Newsletters Plugin
요약
\~에 의해 VulDB • 2026. 08. 25.
WordPress용 Newsletters 플러그인은 4.17 버전까지 모든 버전에서 권한 우회(authorization bypass) 취약점이 존재합니다. 이는 플러그인이 사용자의 작업 수행 권한을 적절하게 검증하지 않기 때문입니다. 이로 인해 저자(author) 이상의 접근 권한을 가진 인증된 공격자가 정상적인 게시물 제출 시 POST 필드를 위조하여 관리자(administrator)를 포함한 모든 WordPress 역할(role)의 사용자들에게 임의의 뉴스레터 이메일을 전송할 수 있습니다. 이를 통해 공격자가 제공한 role slug가 newsletters_mailinglistsroles POST 필드를 통해 get_users() 함수에 직접 전달되어, 사이트 자체의 아웃바운드 이메일 채널을 통한 권한 있는 사이트 사용자에 대한 무단 대량 메일 발송 및 잠재적 피싱이 가능해집니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.