CVE-2026-4162: Brak autoryzacji w wtyczce Gravity SMTP dla WordPress

Co wiadomo

Wtyczka Gravity SMTP dla WordPress w wersjach do 2.1.4 włącznie posiada lukę polegającą na braku właściwej weryfikacji uprawnień użytkownika. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym dezaktywację, odinstalowanie wtyczki oraz usunięcie jej opcji. Luka może być również wykorzystana poprzez atak Cross-Site Request Forgery (CSRF).

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury korzystających z WordPressa, luka ta stanowi poważne zagrożenie, ponieważ pozwala na nieautoryzowane wyłączenie kluczowej wtyczki SMTP, co może zakłócić funkcjonowanie systemu pocztowego i wpłynąć na komunikację biznesową. Atakujący mogą również usunąć ustawienia wtyczki, co utrudnia szybkie przywrócenie działania. Wykorzystanie wektorów CSRF zwiększa ryzyko ataku nawet przy ograniczonym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Gravity SMTP i ich wdrożenie. W przypadku braku łatki, należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi systemowe pod kątem podejrzanych działań związanych z wtyczką. Dodatkowo warto rozważyć wdrożenie mechanizmów ochrony przed atakami CSRF oraz ograniczyć możliwość wykonywania zmian w konfiguracji wtyczek do zaufanych administratorów.

Źródła

• NVD
• Reference
• Reference