PT-2026-136025
CVE-2026-104648
·
Publicado
2026-11-03
·
Atualizado
2026-11-03
Descrição por
CVSS 3.1
4.9
MédiaMétricasAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas
weMail versões anteriores a 2.1.7
Descrição
O plugin não restringe o acesso a uma chave de API de serviço de e-mail de terceiros em todo o site. Esta credencial sensível é exposta em uma tela de administração acessível por padrão a usuários com a função de Editor. Um invasor com esses privilégios pode obter a chave para personificar outros usuários e desconectar o site de seu serviço de e-mail sem a necessidade de uma sessão do WordPress.
Recomendações
Atualize para uma versão posterior à 2.1.6.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾