CVE-2026-1294: SSRF w wtyczce All In One Image Viewer Block dla WordPress

Co wiadomo

Wtyczka All In One Image Viewer Block dla WordPress do wersji 1.0.2 jest podatna na atak Server-Side Request Forgery (SSRF) z powodu braku autoryzacji i walidacji URL na końcówce REST API image-proxy. Pozwala to nieautoryzowanym atakującym na wykonywanie żądań do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Podatność SSRF umożliwia atakującym dostęp do wewnętrznych usług sieciowych, co może prowadzić do wycieku lub modyfikacji danych oraz dalszej eskalacji ataku w infrastrukturze IT. Operatorzy WordPress powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z dostępem do poufnych zasobów wewnętrznych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do REST API image-proxy, monitorować logi pod kątem nietypowych żądań oraz ograniczyć ekspozycję serwera na nieautoryzowane zapytania. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference
• Reference
• Reference