https://alertas.dupin.com.ar/fabricante/wemail/Alertas de vulnerabilidades de weMail.esTue, 03 Nov 2026 09:23:53 +000010https://alertas.dupin.com.ar/cve/CVE-2026-104648/tg:62915Tue, 03 Nov 2026 09:23:53 +0000VulnerabilidadEl plugin weMail para WordPress hasta la versión 2.1.6 no restringe a los administradores una clave de API de un servicio de correo externo de todo el sitio. La clave queda expuesta en una pantalla de administración a la que acceden por defecto los usuarios con rol Editor, quienes pueden obtener una credencial reutilizable sin sesión de WordPress para suplantar a otros usuarios y cortar la conexión del sitio con el servicio de correo.https://alertas.dupin.com.ar/cve/CVE-2026-104647/tg:62914Tue, 03 Nov 2026 09:23:52 +0000VulnerabilidadEl plugin weMail para WordPress hasta la versión 2.1.6 no verifica correctamente las capacidades de los usuarios en los controles de permisos de su API REST. Trata como autorizado para toda acción a cualquier usuario cuyo rol esté en la lista de roles permitidos (Editor y superiores por defecto), lo que permite a esos usuarios realizar acciones de nivel administrador, como enumerar todos los usuarios registrados con sus correos y modificar la configuración de control de acceso del plugin.