افزونه weMail برای سیستم مدیریت محتوای وردپرس (WordPress) در نسخه‌های تا 2.1.6، دارای یک آسیب‌پذیری امنیتی جدی است که باعث افشای کلید API سرویس‌های ایمیل شخص ثالث می‌شود. این کلید که باید تنها در اختیار مدیران (Administrators) باشد، در صفحه‌ای از پنل مدیریت نمایش داده می‌شود که کاربران با سطح دسترسی Editor نیز به صورت پیش‌فرض قادر به مشاهده آن هستند.
از آنجایی که این کلید یک اعتبارنامه (Credential) قابل استفاده مجدد است و برای استفاده از آن نیازی به داشتن یک نشست (Session) فعال در وردپرس نیست، مهاجم می‌تواند از آن برای جعل هویت (Impersonation) سایر کاربران و همچنین قطع ارتباط سرویس ایمیل سایت استفاده کند. این نقص امنیتی در واقع یک نمونه از عدم کنترل دسترسی صحیح (Broken Access Control) است.
علاوه بر این مورد، گزارش‌های فنی نشان می‌دهند که نسخه‌های قدیمی‌تر این افزونه (قبل از 2.1.3) نیز در معرض حملات Reflected Cross-Site Scripting (XSS) قرار داشتند که نشان‌دهنده وجود چالش‌های امنیتی در مدیریت ورودی‌ها در این افزونه است.
