Luka SSRF w wtyczce Xagio SEO dla WordPress (CVE-2025-14438)

Co wiadomo

Wtyczka Xagio SEO – AI Powered SEO dla WordPress do wersji 7.1.0.30 jest podatna na atak Server-Side Request Forgery (SSRF) poprzez funkcję 'pixabayDownloadImage'. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wykonywanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać tę lukę do wysyłania żądań do wewnętrznych usług, co może prowadzić do ujawnienia lub modyfikacji poufnych danych. Zagrożenie to wpływa na bezpieczeństwo infrastruktury webowej, zwłaszcza w środowiskach, gdzie wtyczka jest aktywna i użytkownicy mają podwyższone uprawnienia.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie ogranicz dostęp do wtyczki tylko do zaufanych użytkowników oraz monitoruj logi serwera pod kątem nietypowych żądań wychodzących. Przeanalizuj konfigurację sieci, aby ograniczyć możliwość wykonywania nieautoryzowanych połączeń z serwera.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference