CVE-2026-12583highCWE-502

CVE-2026-12583: fallo de gravedad alta en Newsletters

Newsletters < 4.15 - Unauthenticated PHP Object Injection via Subscriber Custom Field

Publicada el

Seguir esta CVE+ Monitorear Newsletters

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

41Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 8.1epss 0.6%
The Newsletters WordPress plugin before 4.15 does not prevent deserialization of untrusted input that is stored through a public form, allowing unauthenticated attackers to inject a PHP object and, via a property-oriented gadget chain bundled with the Newsletters WordPress plugin before 4.15, write arbitrary files and execute code on the server.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Unknown · Newsletters
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Newsletters

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-4797HIGHNewsletter Lite < 4.9.3 - Admin+ Command InjectionEPSS 1.0%CVE-2026-16268HIGHNewsletters < 4.16 - Unauthenticated Server-Side Request Forgery via SNS Bounce HandlerEPSS 0.7%CVE-2026-16267HIGHNewsletters < 4.16 - Unauthenticated PHP Object Injection via Date Form FieldEPSS 0.5%CVE-2026-16269MEDIUMNewsletters < 4.16 - Unauthenticated API Authentication Bypass via Type JugglingEPSS 0.4%CVE-2026-16264MEDIUMNewsletters < 4.18.1 - Unauthenticated Subscriber Record Overwrite and PII Disclosure via IDOREPSS 0.3%CVE-2026-17520MEDIUMNewsletters < 4.17 - Unauthenticated API Access via Predictable API KeyEPSS 0.2%