CVE-2026-2471

Nome do Software Vulnerável e Versões Afetadas Versões do WP Mail Logging anteriores a 1.15.1

Descrição O plugin WP Mail Logging para WordPress está suscetível a Injeção de Objetos PHP nas versões até a 1.15.0 inclusive. Isso ocorre devido à desserialização de entrada não confiável do campo de mensagem do log de e-mail. O construtor da classe BaseModel usa maybe unserialize() em propriedades do banco de dados sem validação adequada, permitindo que atacantes injetem um Objeto PHP através de um payload duplamente serializado. Este payload pode ser enviado através de qualquer formulário acessível ao público que envie e-mail, como o Contact Form 7. Quando um administrador visualiza o e-mail registrado, o payload malicioso é desserializado. O impacto deste problema é limitado, a menos que outro plugin ou tema contendo uma cadeia de Payload de Objetos PHP (POP) esteja instalado, o que poderia permitir ações como exclusão de arquivos, recuperação de dados ou execução de código.

Recomendações Atualize o WP Mail Logging para a versão 1.15.1 ou posterior.