Privilege Escalation in WordPress (CVE-2026-15426, CVSS 8.8)

Summary

Vulnerability in WordPress (CVE-2026-15426). Successful exploitation can lead to full system takeover.

Original description

The description as published by the source.

The AcyMailing – An Ultimate Newsletter Plugin and Marketing Automation Solution for WordPress plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 10.11.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to overwrite the BCC field of the acy_notification_cms notification template, causing subsequent WordPress password-reset emails — including those targeting administrator accounts — to be silently copied to an attacker-controlled address, enabling account takeover via the captured reset link. Successful exploitation requires the site administrator to have enabled the "Send website emails with AcyMailing" option, which routes WordPress core notification emails through AcyMailing's templating system.

Source: NIST National Vulnerability Database NVD GitHub Advisory

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

AcyMailingプラグインは、バージョン10.11.1まで、認可の不備により脆弱である。これにより、サブスクライバー以上の権限を持つ認証済み攻撃者が、パスワードリセットメールを攻撃者のメールアドレスに転送することができる。攻撃者は捕捉したリセットリンクを使用してアカウントを乗っ取ることが可能になる。

❓ What is the problem

AcyMailingプラグインには、認可バイパスの脆弱性がある。

📍 Affected scope

バージョン10.11.1までのAcyMailingプラグイン

🔥 Severity

攻撃者がパスワードリセットメールを捕捉し、管理者アカウントを乗っ取る可能性がある。

🔧 How to fix

プラグインの更新を行い、不正アクセス防止のために認可確認を強化する。

🛡️ Workaround

AcyMailingを経由したメール送信機能を無効にする。

🔍 Detection

AcyMailingの設定を確認し、知らないメールアドレスにメールが転送されていないかを確認する。

Privilege Escalation in WordPress (CVE-2026-15426)

Summary

Original description

AI summary

References