CVE-2026-92537 in Newsletter Plugin
Tóm tắt
Bởi VulDB • 01/10/2026
The Newsletter – Send awesome emails from WordPress plugin for WordPress là một plugin cho WordPress có lỗ hổng Thiếu bảo vệ thông tin xác thực (Insufficiently Protected Credentials) trong tất cả các phiên bản từ đầu đến, bao gồm cả, 9.3.9. Tuyến REST công khai để theo dõi lượt nhấp `/tnp/l/` của plugin được đăng ký với `permission_callback => '__return_true'`. Khi nhận được chữ ký keyed-MD5 hợp lệ, nó gọi hàm `set_user_cookie()`, phát ra tiêu đề phản hồi `Set-Cookie: newsletter=-` cho người yêu cầu vì đối tượng thuê bao (subscriber) được tải qua `get_user()` thiếu thuộc tính `_trusted`, khiến `get_user_key()` trả về giá trị cột token thô thay vì biến thể đã che bằng MD5. Điều này tạo điều kiện cho các kẻ tấn công không xác thực, những người có được bất kỳ URL theo dõi lượt nhấp nào đã ký của một thuê bao mục tiêu, nhận được cookie xác thực gốc vĩnh viễn của thuê bao đó; sau đó họ có thể sử dụng cookie này để xuất bản ghi PII đầy đủ của thuê bao qua điểm cuối xuất hồ sơ JSON (`?na=px`), viết lại hồ sơ lưu trữ của thuê bao (`?na=ps`) và hủy đăng ký thuê bao một cách thầm lặng thông qua điểm cuối nhấp chuột đơn theo RFC-8058 (`?na=ocu`). Không yêu cầu nào trong số này cần nonce, mật khẩu hoặc thách thức email. Các URL theo dõi đã ký được nhúng vào mọi liên kết bên ngoài của mỗi bản tin gửi đến cho thuê bao; chúng không mang dấu thời gian và không bao giờ hết hạn cho đến khi khóa relink của trang web thay đổi. Do đó, bất kỳ bên nào quan sát được một URL như vậy — thông qua email chuyển tiếp, hộp thư chung, nhật ký cổng mail hoặc tiêu đề Referer trên đích chuyển hướng (không có Referrer-Policy) — đều có thể phát lại nó vô hạn để lấy cắp thông tin xác thực của nạn nhân.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.