Luka SSRF w wtyczce Embed Any Document dla WordPress (CVE-2025-1043)

Co wiadomo

Wtyczka Embed Any Document dla WordPress do wersji 2.7.5 jest podatna na atak Server-Side Request Forgery (SSRF) poprzez shortcode 'embeddoc'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Atakujący z dostępem Contributor lub wyższym mogą wykorzystać tę lukę do wysyłania żądań do wewnętrznych usług, co może prowadzić do ujawnienia lub modyfikacji poufnych informacji. Może to wpłynąć na integralność i poufność danych oraz stabilność infrastruktury IT obsługującej WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Embed Any Document i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi serwera pod kątem nietypowych żądań sieciowych. Dodatkowo warto rozważyć ograniczenie dostępu do wewnętrznych usług z poziomu aplikacji webowej.

Źródła

• NVD
• Reference
• Reference