Ошибка плагина Post SMTP делает 200 тыс. сайтов WordPress уязвимыми для атак взлома

Более 200 000 сайтов WordPress используют уязвимую версию плагина Post SMTP, которая позволяет хакерам получить контроль над учетной записью администратора.

Post SMTP — популярный плагин для доставки электронной почты для WordPress, имеющий более 400 000 активных установок. Он позиционируется как более надёжная и многофункциональная замена стандартной функции wp_mail() .

23 мая исследователь безопасности сообщил об уязвимости компании PatchStack, специализирующейся на безопасности WordPress. Уязвимость получила обозначение CVE-2025-24000 и средний уровень серьёзности 8,8.

Проблема безопасности затрагивает все версии Post SMTP до 3.2.0 и вызвана неисправным механизмом контроля доступа в конечных точках REST API плагина, который проверял только, вошел ли пользователь в систему, не проверяя уровень его разрешений.

Это означает, что пользователи с низкими привилегиями, такие как подписчики, могут получить доступ к журналам электронной почты, содержащим полное содержимое электронной почты.

На уязвимых сайтах подписчик может инициировать сброс пароля для учетной записи администратора, перехватить электронное письмо с просьбой о сбросе пароля через журналы и получить контроль над учетной записью.

Уязвимый код
Источник: PatchStack

Разработчик плагина Саад Икбал был уведомлен об ошибке и предоставил исправление для рассмотрения Patchstack 26 мая.

Решение заключалось во включении дополнительных проверок привилегий в функцию «get_logs_permission», которая проверяла бы разрешения пользователя перед предоставлением доступа к конфиденциальным вызовам API.

Исправление было включено в версию Post SMTP 3.3.0, опубликованную 11 июня.

Статистика загрузок на WordPress.org показывает, что менее половины пользователей плагина (48,5%) обновились до версии 3.3. Это означает, что более 200 000 веб-сайтов уязвимы к CVE-2025-24000.

Значительная часть из них, 24,2%, что соответствует 96 800 сайтам, по-прежнему используют версии Post SMTP из ветки 2.x, которые уязвимы к дополнительным уязвимостям безопасности, что делает их уязвимыми для атак.