PT-2026-40586 · WordPress · Hostinger Reach

Dmitry Ignatyev · Publicado 2026-05-13 · Atualizado 2026-05-13 · CVE-2026-2515

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Hostinger Reach – AI-Powered Email Marketing for WordPress versões anteriores a 1.3.9

Descrição O plugin Hostinger Reach – AI-Powered Email Marketing for WordPress permite a modificação não autorizada de dados porque a função handle ajax action() carece de uma verificação de capacidade. Usuários autenticados com nível de acesso Assinante (Subscriber) ou superior podem utilizar a ação 'hostinger reach connection notice action' para atualizar a chave de API armazenada no banco de dados. Este problema pode ser explorado apenas se o plugin não estiver conectado a um site e nenhuma chave de API existir no banco de dados.

Recomendações Atualize para uma versão posterior a 1.3.8.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-2515

Produtos afetados

Hostinger Reach

Referências · 6

• https://plugins.trac.wordpress.org/browser/hostinger-reach/trunk/src/Admin/Notices/ConnectionNotice.php#L44 · Nota
• https://plugins.trac.wordpress.org/changeset/3473571 · Nota
• https://t.me/CVEtracker/53629 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/8d0fef4d-2c0e-486e-8a55-1c7230636a5c?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-2515 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/hostinger-reach/trunk/src/Api/Routes/ReachRoutes.php#L86 · Nota