CVE-2026-15827 in GutenKit Plugin
Сводка
по VulDB • 23.07.2026
Плагин Gutenberg Blocks для WordPress уязвим к несанкционированному доступу к данным из-за отсутствия проверки прав доступа (capability check) в конечных точках REST API /wp-json/gutenkit/v1/mailchimp/get/lists и /wp-json/gutenkit/v1/mailchimp/get/interests в версиях до 2.4.12 включительно. Обе конечные точки зарегистрированы с параметром permission_callback => '__return_true', а их обработчики считывают сохраненный ключ API Mailchimp из опции gutenkit_settings_list и проксируют метаданные аудитории/списка, поля объединения (merge-field), категории интересов, названия интересов и количество подписчиков обратно вызывающей стороне без проверки логина, nonce или прав доступа. Это позволяет неавторизованным злоумышленникам получать конфиденциальную информацию о конфигурации аудитории Mailchimp с любого сайта, на котором настроена интеграция GutenKit Mailchimp.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.