CVE-2026-101325
Newsletters <= 4.18.1 - Authenticated (Subscriber+) SQL Injection via 'id' Parameter
CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновить плагин Newsletters до версии новее 4.18.1 и переписать все операции с БД с использованием подготовленных выражений wpdb::prepare.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В плагине Newsletters для WordPress обнаружена SQL-инъекция в параметре id из-за отсутствия экранирования и параметризации запроса.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Параметр id в Newsletters конкатенируется в существующий SQL-запрос без применения wpdb::prepare. Необходимый nonce и кука subscriberauth публично генерируются при обычной подписке на рассылку.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Time-based SQL-инъекция позволяет злоумышленнику без учетной записи WordPress внедрять SQL-конструкции и извлекать конфиденциальные данные и хэши паролей из БД.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/d4bc05a2-25f9-4276-8541-a77efc7bd617?source=cve
- plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/newsletters-lite/tags/4.18.1/models/subscriber.php#L1294
- plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/newsletters-lite/tags/4.18.1/wp-mailinglist-plugin.php#L5076
- plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/newsletters-lite/tags/4.18.1/includes/checkinit.php#L269
- plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/newsletters-lite/tags/4.18.1/wp-mailinglist-plugin.php#L5008
- plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/changeset/3756587/newsletters-lite/trunk/wp-mailinglist-plugin.php
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-101325: Newsletters <= 4.18.1 - Authenticated (Subscriber+) SQL Injection via 'id' Parameter. URL: https://cve.futuretools.ru/cve/CVE-2026-101325
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_101325,
title = {{CVE-2026-101325: Newsletters <= 4.18.1 - Authenticated (Subscriber+) SQL Injection via 'id' Parameter}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-101325}},
note = {Оперативный инженерный анализ киберугроз}
}