Luka SSRF w wtyczce Icon List Block dla WordPress (CVE-2025-12376)

Co wiadomo

Wtyczka Icon List Block – Add Icon-Based Lists with Custom Styles dla WordPress do wersji 1.2.1 włącznie zawiera lukę Server-Side Request Forgery (SSRF) w funkcji fs_api_request. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi wykonywanie żądań HTTP do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać lukę SSRF do wysyłania żądań do wewnętrznych usług, co może prowadzić do ujawnienia lub modyfikacji danych wewnętrznych systemów. Może to zwiększyć ryzyko naruszenia poufności i integralności danych w infrastrukturze IT obsługującej WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do wersji po 1.2.1, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp użytkowników do poziomu subskrybenta i wyższego oraz monitorować logi pod kątem podejrzanych żądań wychodzących. Warto również przeprowadzić przegląd konfiguracji sieci i usług wewnętrznych, aby ograniczyć potencjalne skutki wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference