CVE-2026-92537 in Newsletter Plugin
Sumário
de VulDB • 01/10/2026
A Newsletter – Send awesome emails from WordPress plugin for WordPress é vulnerável a Credenciais Insuficientemente Protegidas em todas as versões até 9.3.9, inclusive. A rota REST pública de rastreamento de cliques do plugin `/tnp/l/` está registrada com `permission_callback => '__return_true'` e, ao receber uma assinatura keyed-MD5 válida, chama `set_user_cookie()`, que emite um cabeçalho de resposta `Set-Cookie: newsletter=-` para o solicitante porque o objeto assinante carregado via `get_user()` não possui a propriedade `_trusted`, fazendo com que `get_user_key()` retorne o valor bruto da coluna do token em vez de sua variante mascarada por MD5. Isso permite que atacantes não autenticados, que obtenham qualquer URL de rastreamento de cliques assinado para um assinante alvo, recebam a cookie de autenticação raw permanente desse assinante, que podem então usar para exportar o registro completo de PII do assinante via endpoint de exportação de perfil JSON (`?na=px`), reescrever o perfil armazenado do assinante (`?na=ps`) e cancelar silenciosamente a assinatura do assinante via endpoint RFC-8058 de um clique (`?na=ocu`), nenhum dos quais requer nonce, senha ou desafio por email. URLs de rastreamento assinadas estão embutidas em cada link externo de cada newsletter entregue a um assinante, não possuem carimbo de data/hora e nunca expiram até que a chave de relink do site seja rotacionada, o que significa que qualquer parte que observe tal URL — através de um email encaminhado, uma caixa de entrada compartilhada, um log de gateway de mail ou cabeçalhos Referer no alvo do redirecionamento, que não possui Referrer-Policy definido — pode reutilizá-la indefinidamente para obter as credenciais da vítima.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.