CVE-2026-2559: Luka w wtyczce Post SMTP dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Post SMTP dla WordPress do wersji 3.8.0 posiada lukę pozwalającą na nieautoryzowaną modyfikację konfiguracji OAuth Office 365. Atakujący z poziomem subskrybenta lub wyższym mogą zmienić tokeny dostępu i adres e-mail poprzez specjalnie spreparowany URL.

Wpływ biznesowy

Luka może prowadzić do podmiany konfiguracji SMTP Microsoft365 na kontrolowaną przez atakującego aplikację Azure, co może wprowadzić administratorów w błąd i skutkować połączeniem wtyczki z kontem atakującego. Może to wpłynąć na bezpieczeństwo poczty i integralność komunikacji firmowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Post SMTP i ich instalację. W przypadku braku łatki, ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz rozważyć audyt konfiguracji OAuth. Priorytetowo traktować aktualizacje i weryfikować uprawnienia użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference