CVE-2026-115256— Mail Debug for WooCommerce 1.3.0 未授权邮件泄露漏洞
一分钟漏洞结论
影响对象
Unknown Mail Debug for WooCommerce
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
WooCommerce WordPress 插件"Mail Debug"在 1.3.0 及以下版本中，对其某一项邮件日志记录功能未执行任何能力（capability）、身份验证（authentication）或一次性令牌（nonce）检查。该功能暴露给未认证用户，且未限制其仅访问自身数据，导致任何人均可读取该站点发送的所有邮件的完整正文，其中包括包含密码重置密钥的密码重置邮件。攻击者可利用该重置密钥接管管理员账户。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-115256 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Mail Debug for WooCommerce <= 1.3.0 - Unauthenticated Sent Email Disclosure Leading to Account Takeover
来源: CVE Program / CVE List V5
Vulnerability Description
The Mail Debug for WooCommerce WordPress plugin through 1.3.0 does not perform any capability, authentication, or nonce check on one of its email-logging actions, which is exposed to unauthenticated users and is not restricted to its own data, allowing anyone to read the full body of every email the site has sent, including password-reset emails whose reset key lets an attacker take over an administrator account.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | Mail Debug for WooCommerce | 0 ~ 1.3.0 | - |
|
二、漏洞 CVE-2026-115256 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-115256 的情报信息
请登录查看更多情报信息。
CVE-2026-115256 其他参考 (1)
-
https://wpscan.com/vulnerability/79598470-4f3c-4e08-8657-c111068141d3/ exploit vdb-entry technical-description
同批安全公告 · Unknown · 2026-11-09 · 共 23 条
| CVE-2026-115252 | 10.0 CRITICAL | Confection 0.4.0-0.4.7 未认证远程代码执行漏洞 |
| CVE-2026-106466 | 7.5 HIGH | JWT Auth 3.0.2 刷新令牌撤销不足致账户持久化漏洞 |
| CVE-2026-106008 | 5.3 MEDIUM | FraudLabs Pro 1.11.2-1.12.1 短信验证绕过漏洞 |
| CVE-2026-115204 | AZEXO Store Locator 1.4 任意文件写入漏洞 | |
| CVE-2026-115237 | Grand Job 1.2.1 空密码重置码账户接管漏洞 | |
| CVE-2026-115213 | EASY-JS-WPAPI 2.0 未授权密码泄露及认证绕过漏洞 | |
| CVE-2026-115212 | mView 1.0.3 任意文件上传漏洞 | |
| CVE-2026-120409 | All-in-One Video Gallery 5.1.1 未授权视频披露漏洞 | |
| CVE-2026-118201 | Limit Login Attempts Reloaded 3.0.0-3.4.0 双因素认证绕过漏洞 | |
| CVE-2026-118202 | Limit Login Attempts Reloaded 3.4.1 双因素认证绕过漏洞 | |
| CVE-2026-121759 | Fusion Page Builder 1.7.1 之前 IDOR 任意删除文章漏洞 | |
| CVE-2026-121874 | Post Duplicator <3.0.18 管理员任意选项更新漏洞 | |
| CVE-2026-123091 | Vigilant 2.11.0 第三方登录绕过 2FA 漏洞 | |
| CVE-2026-123064 | WP BASE Booking 6.5.0 订阅者权限提升漏洞 | |
| CVE-2026-123088 | WooCommerce UniPAY 插件未认证订单密钥及客户隐私泄露漏洞。 | |
| CVE-2026-123128 | GemBooking 1.7.1 跨对象竞态条件漏洞 | |
| CVE-2026-121875 | Post Duplicator 3.0.17 权限提升漏洞 | |
| CVE-2026-81422 | Advanced Appointment Booking & Scheduling 2.7 未授权用户注册漏洞 | |
| CVE-2026-123129 | WooCommerce Event Tickets Manager 1.5.4-1.5.9 未授权价格篡改漏洞 | |
| CVE-2026-123131 | GemBooking 1.7.1 前任意删除与设置更新漏洞 |
显示前 20 条，共 23 条。 查看全部 → →