CVE-2026-16267highCWE-502

CVE-2026-16267: fallo de gravedad alta en Newsletters

Newsletters < 4.16 - Unauthenticated PHP Object Injection via Date Form Field

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Newsletters

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

41Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 8.1epss 0.5%
The Newsletters WordPress plugin before 4.16 does not restrict the classes allowed when unserialising a value taken from a public form submission, allowing unauthenticated attackers to inject arbitrary PHP objects.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Unknown · Newsletters
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Newsletters

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-12583HIGHNewsletters < 4.15 - Unauthenticated PHP Object Injection via Subscriber Custom FieldEPSS 2.0%CVE-2023-4797HIGHNewsletter Lite < 4.9.3 - Admin+ Command InjectionEPSS 1.0%CVE-2026-16268HIGHNewsletters < 4.16 - Unauthenticated Server-Side Request Forgery via SNS Bounce HandlerEPSS 0.7%CVE-2026-16269MEDIUMNewsletters < 4.16 - Unauthenticated API Authentication Bypass via Type JugglingEPSS 0.4%CVE-2026-16264MEDIUMNewsletters < 4.18.1 - Unauthenticated Subscriber Record Overwrite and PII Disclosure via IDOREPSS 0.3%CVE-2026-17520MEDIUMNewsletters < 4.17 - Unauthenticated API Access via Predictable API KeyEPSS 0.2%