CVE-2025-14348

Nome do Software Vulnerável e Versões Afetadas Versões do weMail anteriores à 2.0.8

Descrição O plugin weMail para WordPress possui uma falha na qual a API REST depende do cabeçalho HTTP x-wemail-user para identificação do usuário sem confirmar uma sessão válida do WordPress. Isso permite que atacantes não autenticados, que consigam determinar o endereço de e-mail de um administrador (através do endpoint /wp-json/wp/v2/users), atuem como esse usuário. A exploração bem-sucedida concede acesso aos endpoints de assinantes CSV, potencialmente levando ao roubo de Informações Pessoalmente Identificáveis (PII) como e-mails, nomes e números de telefone de arquivos CSV importados.

Recomendações Atualize o weMail para a versão 2.0.8 ou posterior.