Luka SSRF w wtyczce Frontis Blocks dla WordPress (CVE-2026-0807)

Co wiadomo

Wtyczka Frontis Blocks dla WordPress do wersji 1.1.6 włącznie zawiera lukę Server-Side Request Forgery (SSRF) z powodu niewystarczającej walidacji parametru 'url' w funkcji 'template_proxy'. Pozwala to nieautoryzowanym atakującym na wykonywanie żądań HTTP do dowolnych adresów z poziomu aplikacji webowej przez endpointy '/template-proxy/' i '/proxy-image/'.

Wpływ biznesowy

Luka SSRF może umożliwić atakującym dostęp do wewnętrznych zasobów sieciowych lub wykonanie nieautoryzowanych żądań z serwera aplikacji, co może prowadzić do wycieku danych lub dalszych ataków. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako wysokiego ryzyka i podjąć działania w celu ograniczenia ekspozycji oraz monitorowania podejrzanej aktywności.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Frontis Blocks i jej instalację, jeśli jest dostępna. W przypadku braku łatki, ogranicz dostęp do endpointów '/template-proxy/' i '/proxy-image/' oraz monitoruj logi serwera pod kątem nietypowych żądań. Warto również przeprowadzić przegląd konfiguracji sieci i zasad dostępu, aby zminimalizować ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference