CVE-2026-92537

WordPress için geliştirilen The Newsletter – Send awesome emails from WordPress eklentisinin 9.3.9 dahil tüm sürümleri Yetersiz Korunmuş Kimlik Bilgileri (Insufficiently Protected Credentials) zafiyetine sahiptir. Eklentinin genel tıklama takip REST rotası olan `/tnp/l/`, `permission_callback => '__return_true'` ile kaydedilmiştir ve geçerli bir anahtarlı-MD5 imzası aldığında `set_user_cookie()` fonksiyonunu çağırır; bu durum, `get_user()` aracılığıyla yüklenen abone nesnesinin `_trusted` özelliğinden yoksun olması nedeniyle `get_user_key()` fonksiyonunun MD5 maskeli varyant yerine ham belirteç sütun değerini döndürmesine yol açarak istek yapana `Set-Cookie: newsletter=<id>-<raw_token>` yanıt başlığını gönderir. Bu durum, hedef bir aboneye ait herhangi bir imzalı tıklama takip URL'sini ele geçiren kimliği doğrulanmamış saldırganların, söz konusu abonenin kalıcı ham kimlik doğrulama çerezini almasını mümkün kılar. Saldırganlar bu çerezi kullanarak, hiçbir nonce, parola veya e-posta doğrulaması gerektirmeksizin, JSON profil dışa aktarma uç noktası (`?na=px`) üzerinden abonenin tam PII kaydını dışa aktarabilir, abonenin kayıtlı profilini yeniden yazabilir (`?na=ps`) ve RFC-8058 tek tıkla uç noktası (`?na=ocu`) üzerinden aboneyi sessizce abonelikten çıkarabilir. İmzalı takip URL'leri, bir aboneye teslim edilen her bültenin her harici bağlantısına gömülüdür, zaman damgası taşımazlar ve sitenin yeniden bağlantı anahtarı değişene kadar asla sona ermezler; bu da yönlendirme hedefinde tanımlanmış bir Referrer-Policy bulunmaması nedeniyle, böyle bir URL'yi iletilen bir e-posta, paylaşılan bir gelen kutusu, bir posta ağ geçidi günlüğü veya Referer başlıkları aracılığıyla gözlemleyen herhangi bir tarafın, kurbanın kimlik bilgilerini elde etmek için bu URL'yi süresiz olarak tekrar kullanabileceği anlamına gelir.