Analityczne wykorzystywanie plików cookies
Luka SSRF w wtyczce GetContentFromURL dla WordPress (CVE-2025-14613)
Wtyczka GetContentFromURL WordPress do wersji 1.0 ma lukę SSRF umożliwiającą ataki z poziomu użytkownika Contributor. Zalecane aktualizacje i ograniczenia dostępu.
- CVSS
- 7.2 HIGH
- EPSS
- 22.38%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka GetContentFromURL dla WordPress do wersji 1.0 włącznie jest podatna na atak Server-Side Request Forgery (SSRF). Luka wynika z użycia funkcji wp_remote_get() zamiast bezpiecznej wp_safe_remote_get() do pobierania treści z adresu URL podanego przez użytkownika w parametrze 'url' shortcode [gcfu].
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współtwórcy (Contributor) mogą wykonywać żądania HTTP do dowolnych lokalizacji z serwera aplikacji, co może prowadzić do nieautoryzowanego dostępu i modyfikacji danych wewnętrznych usług. Może to skutkować wyciekiem informacji lub ingerencją w działanie infrastruktury wewnętrznej.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki GetContentFromURL i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji shortcode [gcfu] tylko do zaufanych użytkowników oraz monitorować logi serwera pod kątem nietypowych żądań wychodzących. Warto również rozważyć ograniczenie połączeń wychodzących z serwera do niezbędnych adresów.