CVE-2026-15426

Nome do Software Vulnerável e Versões Afetadas AcyMailing – An Ultimate Newsletter Plugin and Marketing Automation Solution for WordPress versões anteriores a 10.11.2

Description Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem sobrescrever o campo BCC do template de notificação acy notification cms. Isso permite que e-mails de redefinição de senha do WordPress, incluindo aqueles destinados a contas de administrador, sejam copiados silenciosamente para um endereço controlado pelo atacante, possibilitando a tomada de conta da conta através do link de redefinição capturado. Este problema é explorável apenas se o administrador do site tiver ativado a opção "Send website emails with AcyMailing", que roteia os e-mails de notificação do núcleo do WordPress através do sistema de templates do AcyMailing.

Recommendations Atualize para uma versão posterior à 10.11.1. Desative a opção "Send website emails with AcyMailing" para evitar o roteamento de e-mails de notificação do núcleo através do sistema de templates vulnerável.