Vulnerabilidad en plugin de WordPress FluentCRM (CVE-2026-7798)

El plugin FluentCRM - Email Newsletter, Automatización, Marketing por Correo Electrónico, Campañas de Correo Electrónico, Optins, Leads y Solución CRM para WordPress es vulnerable a la falsificación de petición del lado del servidor ciega en todas las versiones hasta la 2.9.87, inclusive, a través del parámetro 'SubscribeURL'. Esto hace posible que atacantes no autenticados realicen peticiones web a ubicaciones arbitrarias originadas desde la aplicación web y puede usarse para consultar y modificar información de servicios internos. La explotación requiere que la clave de manejo de rebotes de SES ('_fc_bounce_key') nunca haya sido almacenada (es decir, el sitio está en su estado predeterminado/sin configurar con respecto al manejo de rebotes de SES), ya que visitar la página de configuración de rebotes auto-genera y almacena una clave aleatoria que hace que la comprobación de autenticación se evalúe correctamente y rechace las peticiones no autenticadas.