CVE-2026-17520
Newsletters < 4.17 - Unauthenticated API Access via Predictable API Key
Что произошло
The Newsletters WordPress plugin before 4.17 does not generate its API key using a sufficiently random source, deriving it from a publicly known value, allowing unauthenticated attackers to compute the key and perform privileged actions such as adding and deleting subscribers and sending emails, when the optional API has been enabled.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Unknown / Newsletters
{
"status": "affected",
"version": "0",
"lessThan": "4.17",
"versionType": "semver"
}CVSS: оценки и векторы
CVSS 3.1 · cve4.8
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L
Классы CWE
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve"
],
"epss": {
"source": "epss",
"received_at": "2026-10-29T08:35:52.042525+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T17:46:42.094048+00:00"
},
"scores": [
"cve"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T17:46:42.094048+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T17:46:42.094048+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-10-29T08:35:52.042525+00:00"
},
"references": [
"cve"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T17:46:42.094048+00:00"
},
"workarounds": [],
"configurations": []
}Хронология записи
- Данные обновлены29.10.2026, 11:36
- Появилась ссылка на PoC28.10.2026, 20:46
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-116863 WordPress Newsletters plugin <= 4.18.2 - Cross Site Request Forgery (CSRF) vulnerability Tribulant Software / Newsletters | Критический | 9.6 | 0,18 % | 27.10.2026 | ||
| CVE-2026-94075 WordPress Newsletters plugin <= 4.18.1 - PHP Object Injection vulnerability Tribulant Software / Newsletters | Критический | 9.8 | 0,45 % | 24.10.2026 | ||
| CVE-2026-111402 WordPress Newsletters plugin <= 4.18.1 - SQL Injection vulnerability Tribulant Software / Newsletters | Критический | 9.3 | 0,35 % | 24.10.2026 | ||
| CVE-2026-16264 Newsletters < 4.18.1 - Unauthenticated Subscriber Record Overwrite and PII Disclosure via IDOR Unknown / Newsletters | Высокий | 6.5 | 0,27 % | PoC | 23.09.2026 | |
| CVE-2026-66619 WordPress Newsletters plugin <= 4.18 - SQL Injection vulnerability Tribulant Software / Newsletters | Высокий | 7.6 | 0,38 % | 17.09.2026 |