CVE-2026-104647 Autorización incorrecta en weMail mediante User::can()
El plugin weMail para WordPress hasta la versión 2.1.6 no verifica correctamente las capacidades de los usuarios en los controles de permisos de su API REST. Trata como autorizado para toda acción a cualquier usuario cuyo rol esté en la lista de roles permitidos (Editor y superiores por defecto), lo que permite a esos usuarios realizar acciones de nivel administrador, como enumerar todos los usuarios registrados con sus correos y modificar la configuración de control de acceso del plugin.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 4
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
weMail
hasta 2.1.6
Qué hacer
- Verificá si usás weMail y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.8 BAJA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The weMail WordPress plugin through 2.1.6 does not correctly verify user capabilities in its REST API permission checks, treating any user whose role is in the weMail WordPress plugin through 2.1.6's allowed-roles list (Editor and above by default) as authorised for every action, which allows such users to perform administrator-level actions including enumerating all registered users with their email addresses and modifying the weMail WordPress plugin through 2.1.6's own access-control configuration.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.