CVE-2026-78003

Nome do Software Vulnerável e Versões Afetadas Mailgun for WordPress versões anteriores a 2.2.1

Descrição A validação insuficiente de entrada na função add list() permite que atacantes não autenticados realizem Server-Side Request Forgery (SSRF) via path traversal. O problema ocorre porque a função aceita chaves de array controladas pelo usuário a partir da variável addresses dentro da requisição $ POST e as processa apenas através de sanitize text field(). Isso permite que atacantes executem requisições POST autenticadas para qualquer endpoint da API do Mailgun usando a chave de API do site. Isso pode ser utilizado para criar rotas de encaminhamento de e-mail recebido para interceptar e-mails de redefinição de senha, resultando potencialmente na tomada de controle de contas de administrador.

Recomendações Atualize o plugin para uma versão posterior a 2.2.0. Como mitigação temporária, restrinja o acesso à funcionalidade que utiliza a função add list().