Luka SSRF w wtyczce User Language Switch dla WordPress (CVE-2026-0745)

Co wiadomo

Wtyczka User Language Switch dla WordPress do wersji 1.6.10 włącznie posiada lukę Server-Side Request Forgery (SSRF) z powodu braku walidacji URL w funkcji download_language(). Atakujący z uprawnieniami administratora mogą wysyłać żądania do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Luka umożliwia atakującym z uprawnieniami administratora wykonywanie żądań HTTP do wewnętrznych usług, co może prowadzić do ujawnienia lub modyfikacji danych wewnętrznych systemów. Może to skutkować naruszeniem integralności i poufności informacji oraz zwiększa ryzyko dalszych ataków wewnętrznych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki User Language Switch i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administratora oraz monitorować logi pod kątem nietypowych żądań wychodzących. Warto również przeprowadzić przegląd konfiguracji sieci i usług wewnętrznych, aby ograniczyć potencjalne skutki ataku.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference