What’s Vulnerable › Vulnerabilities
CVE-2026-94075: WordPress Newsletters plugin <= 4.18.1 - PHP Object Injection vulnerability
- Severity: critical (CVSS 9.8 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.4% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-24 · updated 2026-10-26
- Weakness: CWE-502
Description
Deserialization of Untrusted Data vulnerability in Tribulant Software Newsletters newsletters-lite allows Object Injection.This issue affects Newsletters: from n/a through 4.18.1.
Summary
CVE-2026-94075 is a critical PHP object injection flaw in the Tribulant Software Newsletters plugin for WordPress, caused by deserialization of untrusted data. It affects all versions through 4.18.1 and carries a CVSS score of 9.8, potentially allowing an attacker to inject objects and execute arbitrary code. There is no evidence of active exploitation (not in CISA KEV, SSVC exploitation: none, EPSS 0.4%). Update the plugin to a version later than 4.18.1 once available, or disable/remove it if no fix exists.
CVE-2026-94075 ثغرة حقن كائنات PHP خطيرة في إضافة Newsletters من Tribulant Software لمنصة WordPress، سببها إزالة تسلسل بيانات غير موثوقة. تؤثر الثغرة في جميع الإصدارات حتى 4.18.1 ودرجة خطورتها 9.8 وفق CVSS، وقد تتيح للمهاجم حقن كائنات وتنفيذ تعليمات برمجية عشوائية. لا توجد أدلة على استغلال نشط (ليست في CISA KEV، وSSVC: none، واحتمال EPSS 0.4%). يُنصح بالترقية إلى إصدار أحدث من 4.18.1 فور توفره، أو تعطيل الإضافة أو إزالتها إن لم يتوفر إصلاح.
Affected products
- Tribulant Software Newsletters: through 4.18.1
References
Get alerted when CVE-2026-94075 or the next vulnerability affects your stack