CVE Tools
Track your stack

Уязвимость в WordPress-плагине Gravity SMTP эксплуатируют хакеры

Хакер (xakep.ru)By Мария Нефёдова

Reported exploitedGravity SMTPWordPress

Our summary

Злоумышленники активно атакуют уязвимость в WordPress-плагине Gravity SMTP, который установлен примерно на 100 000 сайтов. Проблема с идентификатором CVE-2026-4020 затрагивает Gravity SMTP версии 2.1.4 и ниже и позволяет без аутентификации извлекать API-ключи, OAuth-токены и подробный системный отчет, включая данные конфигурации сервера и версии компонентов. Это важно, потому что похищенные учетные данные дают возможность рассылать письма от имени компрометированного сайта и упрощают дальнейшую разведку; для устранения требуется обновление до Gravity SMTP 2.1.5.

Read at Хакер (xakep.ru)

Хакер (xakep.ru) publishes this story on its own site; we link to it rather than reprint it.

  1. SecurityWeekAttackers Exploit Gravity SMTP Plugin Flaw to Harvest Valuable WordPress DataCVE-2026-4020
  2. The Hacker News⚡ Weekly Recap: Browser Bugs, EDR Killers, TV Botnet, OpenBSD Flaw, Android Trojan, and MoreCVE-2026-4020
  3. The Hacker NewsHackers Exploit Gravity SMTP WordPress Plugin Bug to Expose API KeysCVE-2026-4020
  4. BleepingComputerHackers exploit info disclosure bug in Gravity SMTP WordPress pluginCVE-2026-4020
  5. Daily CyberSecurity (securityonline.info)Active Gravity SMTP Vulnerability Exploited in the WildCVE-2026-4020

Worried this affects your company?

Discuss a security assessment of your internet-facing systems. Scope agreed before testing.

Check my exposure

We use analytics cookies to see which pages and articles actually help people. Decline and none of them run — the site works the same. What we store