افزونه weMail برای سیستم مدیریت محتوای وردپرس (WordPress)، در نسخه‌های تا 2.1.6، دارای یک آسیب‌پذیری امنیتی در بررسی مجوزهای REST API است. این نقص امنیتی باعث می‌شود که سیستم، قابلیت‌های کاربر (User Capabilities) را به درستی تایید نکند.
در این سناریو، هر کاربری که دارای نقش‌های تعریف شده در لیست مجاز افزونه باشد (که به طور پیش‌فرض شامل نقش Editor و بالاتر است)، برای تمامی عملیات‌ها مجاز شناخته می‌شود. این موضوع به مهاجم اجازه می‌دهد تا اقدامات در سطح مدیر (Administrator) را انجام دهد.
پیامدهای امنیتی:
- استخراج اطلاعات (Information Disclosure): امکان مشاهده و لیست کردن تمامی کاربران ثبت‌نام شده به همراه آدرس‌های ایمیل آن‌ها.
- تغییر پیکربندی (Configuration Modification): امکان تغییر تنظیمات کنترل دسترسی (Access Control) خودِ افزونه weMail.
مدیران سیستم و متخصصان امنیت توصیه می‌کنند که در صورت استفاده از این افزونه، سریعاً نسخه خود را به آخرین نسخه امنیتی به‌روزرسانی کنند.
