Gravity SMTP espone le chiavi della posta del sito
Qui non c'è solo una fuga di informazioni. Se il System Report esce da un endpoint pubblico, l'attaccante non ottiene solo dettagli sul sito: può mettere le mani sulle credenziali dei servizi email collegati e inviare posta autenticata a nome del dominio colpito.
CVE-2026-4020 colpisce Gravity SMTP fino alla 2.1.4 ed è già sfruttata attivamente. Defiant e Wordfence segnalano ondate di richieste bloccate, mentre il report esposto può contenere API key, secret, OAuth token e credenziali per servizi come Amazon SES, Google, Mailjet, Resend e Zoho, oltre a dettagli utili sulla base di codice e sull'ambiente.
La correzione è nella 2.1.5. Se il report è stato raggiunto, le credenziali e i token passati da quel canale vanno considerati compromessi: il problema non finisce con la patch, perché l'abuso della posta resta possibile finché quei segreti restano validi.