CVE-2026-119616

Nome do Software Vulnerável e Versões Afetadas Noptin – Newsletter, New Post Notifications & Email Automation versões anteriores a 4.4.4

Descrição Ocorre a Inclusão de Arquivo Local (Local File Inclusion) através do parâmetro noptin fields[first name]. Isso permite que invasores não autenticados incluam e executem arquivos .php arbitrários no servidor, possibilitando a execução de código PHP. Isso pode resultar na evasão de controles de acesso, obtenção de dados sensíveis ou execução de código se arquivos .php puderem ser carregados. A página Manage Preferences fornece um nonce para visitantes não autenticados, removendo barreiras de autorização. Um invasor pode armazenar um payload malicioso na variável first name, que é executado quando o operador do site envia uma newsletter. A exploração requer que um administrador acione o processo de envio da newsletter.

Recomendações Atualize para a versão 4.4.4 ou posterior. Evite usar o parâmetro noptin fields[first name] até que a atualização seja aplicada.