CVE-2026-104647: falha de baixa gravidade em weMail
weMail <= 2.1.6 - Editor+ Incorrect Authorization via User::can()
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
28Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 3.8epss 0.2%
The weMail WordPress plugin through 2.1.6 does not correctly verify user capabilities in its REST API permission checks, treating any user whose role is in the weMail WordPress plugin through 2.1.6's allowed-roles list (Editor and above by default) as authorised for every action, which allows such users to perform administrator-level actions including enumerating all registered users with their email addresses and modifying the weMail WordPress plugin through 2.1.6's own access-control configuration.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N
Produtos afetados
Unknown · weMailPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/ab92c7f7-c74f-4af4-819f-b582a5a7f9d1/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — weMail
No mesmo produto, das mais perigosas para as menos.