CVE-2019-25141criticalexploração observadaCWE-862

CVE-2019-25141: falha crítica em smub Easy WP SMTP – WordPress SMTP and Email…

Easy WP SMTP <= 1.3.9 - Missing Authorization to Arbitrary Options Update

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Easy WP SMTP – WordPress SMTP and Email Logs: Gmail, Office 365, Outlook, Custom SMTP, and more

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

65Vexday Risk Score

Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.

ssvc Actcvss 9.8epss 4.5%
da publicação à arma
Publicada no NVD7 de jun.
VulnCheck23 de jul.
Em resumo

O plugin Easy WP SMTP do WordPress permite que atacantes não autenticados alterem as configurações do plugin e opções do site sem fazer login, podendo criar contas falsas de administrador. Essa é uma falha crítica porque qualquer pessoa na internet pode tomar controle do website.

Detalhe técnico

A função admin_init() do plugin não verifica permissões de usuário nem valida inputs suficientemente, permitindo que requisições POST não autenticadas modifiquem opções arbitrárias do WordPress. Um atacante pode injetar novas contas administrativas ou alterar a configuração do site sem autenticação, comprometendo completamente o site.

Resumo gerado e traduzido por IA a partir da descrição oficial.
The Easy WP SMTP plugin for WordPress is vulnerable to authorization bypass in versions up to, and including, 1.3.9. This is due to missing capability checks on the admin_init() function, in addition to insufficient input validation. This makes it possible for unauthenticated attackers to modify the plugins settings and arbitrary options on the site that can be used to inject new administrative user accounts.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
smub · Easy WP SMTP – WordPress SMTP and Email Logs: Gmail, Office 365, Outlook, Custom SMTP, and more
CVEs relacionadas — smub Easy WP SMTP – WordPress SMTP and Email…

No mesmo produto, das mais perigosas para as menos.

CVE-2024-3073LOWEasy WP SMTP by SendLayer <= 2.3.0 - Exposure of Sensitive Information via the UIEPSS 0.3%