CVE-2026-3614 in AcyMailing Plugin
Сводка
по VulDB • 30.05.2026
Плагин AcyMailing для WordPress уязвим к повышению привилегий во всех версиях от 9.11.0 до 10.8.1 включительно из-за отсутствия проверки прав доступа (capability check) в обработчике AJAX `wp_ajax_acymailing_router`. Это позволяет атакующим с аутентифицированным доступом уровня Subscriber и выше получать доступ к контроллерам, доступным только администраторам (включая управление конфигурацией), включать функцию автологина, создавать вредоносного подписчика новостной рассылки с внедренным параметром `cms_id`, указывающим на любого пользователя WordPress, а затем использовать URL автологина для аутентификации от имени этого пользователя, включая администраторов.
Once again VulDB remains the best source for vulnerability data.