« Volver al listado

CVE-2026-102562

Estado: AplazadaAlta (7.2)—

El complemento AcyMailing para WordPress es vulnerable a Almacenamiento de Secuencias de Comandos en Sitios Cruzados (XSS) a través del parámetro customField[] del punto final público frontusers::subscribe en versiones hasta la 11.1.0 (inclusive).

Leer descripción completaMostrar menos

Esto se debe a una sanitización de entrada y codificación de salida insuficientes en el sanitizador acym_cleanVar(), cuyo eliminador de etiquetas HTML solo coincide con etiquetas completas (requiere un '>' de cierre), junto con SubscriberInsertion::replaceUserInformation() y la plantilla de vista de archivo, que sustituyen el valor del campo de suscriptor almacenado en el cuerpo del correo y lo emiten sin codificación HTML. Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a la URL de archivo en línea del suscriptor envenenado, incluyendo administradores que hagan clic en el enlace generado por el complemento en la pantalla Suscriptores → Historial.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Plugin WordPress expuesto sin autenticación (AV:N, PR:N, UI:N) permite inyectar XSS almacenado via customField[]. Ejecuta JavaScript en navegador del admin al acceder el archivo.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningRestrict Web-Based ContentPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkFilter Network Traffic

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Acymailing — AcymailingAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-102562",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-102562",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T10:48:57.922394Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@wordfence.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 7.2,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 2.7,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@wordfence.com",
      "affectedData": [
        {
          "vendor": "acyba",
          "product": "AcyMailing – An Ultimate Newsletter Plugin and Marketing Automation Solution for WordPress",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "versionType": "semver",
              "lessThanOrEqual": "11.1.0"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-13T08:16:59.263",
  "references": [
    {
      "url": "https://plugins.trac.wordpress.org/browser/acymailing/tags/11.1.0/back/Classes/FieldClass.php#L292",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://plugins.trac.wordpress.org/browser/acymailing/tags/11.1.0/back/Classes/UserClass.php#L1187",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://plugins.trac.wordpress.org/browser/acymailing/tags/11.1.0/back/Core/wordpress/security.php#L122",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://plugins.trac.wordpress.org/browser/acymailing/tags/11.1.0/back/dynamics/subscriber/SubscriberInsertion.php#L159",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://plugins.trac.wordpress.org/browser/acymailing/tags/11.1.0/front/FrontControllers/FrontusersController.php#L69",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://plugins.trac.wordpress.org/browser/acymailing/tags/11.1.0/front/FrontViews/Archive/tmpl/view.php#L17",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://plugins.trac.wordpress.org/changeset?reponame=&old=3729031%40acymailing&new=3729031%40acymailing",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/eb8f03fb-d1af-4727-87d7-58dbe4013d8a?source=cve",
      "source": "security@wordfence.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@wordfence.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-79"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The AcyMailing plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the customField[] parameter of the public frontusers::subscribe endpoint in versions up to, and including, 11.1.0. This is due to insufficient input sanitization and output escaping in the acym_cleanVar() sanitizer, whose HTML-tag stripper only matches complete tags (requiring a closing '>'), together with SubscriberInsertion::replaceUserInformation() and the archive view template, which substitute the stored subscriber field value into the mail body and emit it without HTML encoding. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses the online-archive URL for the poisoned subscriber, including administrators who click the plugin-generated link in the Subscribers → History screen."
    }
  ],
  "lastModified": "2026-10-15T17:17:10.010",
  "sourceIdentifier": "security@wordfence.com"
}