CVE-2026-109401
Açıklama
WordPress için geliştirilen WP Mail Logging eklentisinin 1.17.0 dahil tüm önceki sürümleri, 'email_address' parametresi üzerinden Hassas Bilgi İfşası zafiyetine sahiptir. Bu durum; yönetici düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, joker karakterle eşleşen diğer kullanıcılara ait alıcı adresleri, mesaj konuları, tam mesaj gövdeleri ve içerdiği tüm URL'ler dahil olmak üzere günlüğe kaydedilmiş eksiksiz posta satırlarını çıkarmasını mümkün kılar. İstismarın gerçekleşmesi için bir yöneticinin, standart WordPress gizlilik iş akışı aracılığıyla saldırganın e-posta adresi için kişisel veri dışa aktarma isteğini işlemesi gerekir ve saldırganın adresinin, posta günlüğündeki en az bir başka kullanıcının adresiyle eşleşen bir LIKE joker karakteri (alt çizgi gibi) içermesi gerekir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| smub WP Mail Logging | v ≤ 1.17.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.