O plugin Mailgun for WordPress (até a versão 2.2.0) possui uma falha de Server-Side Request Forgery via path traversal na função add_list(), que não valida corretamente os dados enviados em $_POST[‘addresses’]. Um atacante não autenticado pode usar essa falha para fazer requisições autenticadas à API do Mailgun usando a chave do site, criando rotas de encaminhamento de e-mail que podem interceptar mensagens de redefinição de senha e levar à tomada de contas de administrador. CVSS 9.8 (crítico); recomenda-se atualizar o plugin assim que uma versão corrigida estiver disponível.
O que fazer?
Uma vulnerabilidade crítica (CVSS 9.8) no plugin Mailgun for WordPress, versões 2.2.0 ou inferiores, permite que atacantes sem autenticação interceptem e-mails e tomem o controle de contas de administrador. Recomenda-se a atualização imediata do plugin para uma versão superior, a revogação das chaves de API da Mailgun e a verificação de usuários maliciosos no painel.