CVE-2026-17520
Publiée le 2026-08-29 · Dernière modification le 2026-08-31
Les sites WordPress utilisant l'extension Newsletters (versions antérieures à 4.17) avec l'API activée sont concernés car les clés API sont générées à partir de valeurs prévisibles. Un attaquant non authentifié disposant d'un accès réseau peut calculer votre clé spécifique pour ajouter ou supprimer des abonnés et envoyer des e-mails non autorisés. Bien que le calcul de la clé demande un certain effort technique, aucune interaction avec l'utilisateur ni aucune connexion n'est requise pour exploiter cette faille.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Newsletters WordPress plugin before 4.17 does not generate its API key using a sufficiently random source, deriving it from a publicly known value, allowing unauthenticated attackers to compute the key and perform privileged actions such as adding and deleting subscribers and sending emails, when the optional API has been enabled.