CVE-2026-104648 Exposición de clave de API en weMail
El plugin weMail para WordPress hasta la versión 2.1.6 no restringe a los administradores una clave de API de un servicio de correo externo de todo el sitio. La clave queda expuesta en una pantalla de administración a la que acceden por defecto los usuarios con rol Editor, quienes pueden obtener una credencial reutilizable sin sesión de WordPress para suplantar a otros usuarios y cortar la conexión del sitio con el servicio de correo.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 14
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
weMail
hasta 2.1.6
Qué hacer
- Verificá si usás weMail y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.9 MEDIA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The weMail WordPress plugin through 2.1.6 does not restrict a site-wide third-party email-service API key to administrators, exposing it in an admin screen that users with the Editor role can reach by default, which allows them to obtain a reusable credential usable without a WordPress session to impersonate other users and sever the site's email-service connection.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.