CVE-2026-75908

Nome do Software Vulnerável e Versões Afetadas Newsletters versões anteriores a 4.18

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de autor ou superior podem enviar e-mails de newsletter arbitrários para usuários de qualquer função do WordPress, incluindo administradores. Isso é feito através da falsificação de campos POST durante o envio de uma postagem normal, onde um slug de função fornecido pelo atacante via campo POST newsletters mailinglistsroles é passado diretamente para a função get users(). Essa falha permite o envio de e-mails em massa não autorizado e potencial phishing contra usuários privilegiados através do canal de e-mail de saída do próprio site.

Recomendações Atualize o Newsletters para a versão 4.18 ou posterior.