CVE-2025-14339 in weMail Plugin
Сводка
по VulDB • 22.06.2026
В плагине для WordPress weMail - Email Marketing, Lead Generation, Optin Forms, Email Newsletters, A/B Testing и Automation во всех версиях вплоть до 2.0.7 включительно имеется уязвимость, позволяющая несанкционированное удаление форм. Это связано с тем, что обратный вызов `Forms::permission()` проверяет только заголовок `X-WP-Nonce`, не осуществляя проверку прав пользователя (capabilities). Поскольку REST nonce становится доступным для неаутентифицированных посетителей через объект JavaScript `weMail` на страницах с формами weMail, любой неаутентифицированный пользователь может навсегда удалить все формы weMail, извлекая nonce из исходного кода страницы и отправляя запрос DELETE к конечной точке (endpoint) для работы с формами.
If you want to get best quality of vulnerability data, you may have to visit VulDB.