Nach Darstellung von Defiant liegt das Problem in einem REST-API-Endpunkt, der innerhalb einer gemeinsam genutzten Bibliothek für ein System zur Konfigurationssammlung registriert wurde. Dieser Endpunkt führt weder eine Authentifizierungs- noch eine Berechtigungsprüfung durch. Er liefert bedingungslos „wahr“ zurück und ist dadurch für jeden nicht angemeldeten Nutzer erreichbar.
Wird an die Anfrage ein bestimmter Parameter angehängt, gibt der Endpunkt interne Connector-Daten als JSON aus. Diese Daten enthalten den vollständigen Systembericht der WordPress-Installation. Dazu gehören laut dem Bericht Konfigurationsdaten wie die PHP- und WordPress-Version, geladene Erweiterungen, Details zum Webserver, der Pfad zum Dokumentenstamm, Datenbankinformationen, aktive Plugins und das verwendete Theme, außerdem WordPress-Konfigurationsdetails sowie eingerichtete API-Schlüssel und Tokens.
Defiant warnt, dass sich auf diesem Weg Zugangsdaten abgreifen lassen könnten, die zum Versand von E-Mails im Namen der betroffenen Website genutzt werden können. Zusätzlich erhielten Angreifer detaillierte Aufklärungsdaten über den Software-Stack einer Seite, die sich laut Defiant verwenden lassen, um weitere Schwachstellen zu identifizieren und gezielt anzugreifen.
Das Unternehmen beobachtet nach eigenen Angaben seit Anfang Mai aktive Ausnutzung von CVE-2026-4020. Die Angreifer schicken demnach nicht authentifizierte GET-Anfragen an den verwundbaren Endpunkt, um das vollständige JSON-Objekt des Systemberichts abzurufen. In diesem Monat hat Defiant nach eigenen Angaben einen deutlichen Anstieg der Angriffe auf die Schwachstelle registriert und bisher mehr als 17 Millionen Exploit-Versuche blockiert.
Betreiber von Websites sollen ihre Gravity-SMTP-Installationen so schnell wie möglich auf Version 2.1.5 aktualisieren. Außerdem rät Defiant dazu, die Server-Zugriffsprotokolle auf Anfragen an den betroffenen Endpunkt zu prüfen, weil die laufende Ausnutzung keine anderen offensichtlichen Spuren hinterlässt.
Wer eine verwundbare Version von Gravity SMTP einsetzt und E-Mail-Integrationen von Drittanbietern konfiguriert hat, sollte laut Defiant davon ausgehen, dass die zugehörigen API-Schlüssel, Geheimnisse und OAuth-Tokens offengelegt worden sein könnten. Als Beispiele nennt das Unternehmen Amazon SES, Google, Mailjet, Resend und Zoho. Nach der Aktualisierung des Plugins empfiehlt Defiant, diese Zugangsdaten auszutauschen.