CVE-2026-46697: SSRF i otwarty proxy w Fediverse Embeds dla WordPress

Co wiadomo

Wtyczka Fediverse Embeds do WordPressa przed wersją 1.5.8 zawierała lukę SSRF umożliwiającą anonimowym użytkownikom wykonanie żądań HTTP do dowolnych adresów przez niezabezpieczony endpoint REST. Problem polegał na braku skutecznej walidacji adresów URL, co pozwalało na pełne odczytanie odpowiedzi i działanie jako otwarty proxy.

Wpływ biznesowy

Luka o wysokim poziomie zagrożenia (CVSS 7.5) może zostać wykorzystana do nieautoryzowanego dostępu do zasobów wewnętrznych sieci lub do przeprowadzenia ataków pośrednich. Operatorzy WordPress powinni zweryfikować, czy używają podatnej wersji wtyczki, aby uniknąć ryzyka wycieku danych i nadużyć infrastruktury.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Fediverse Embeds do wersji 1.5.8 lub nowszej, w której luka została załatana. W przypadku braku możliwości aktualizacji warto ograniczyć dostęp do endpointu REST oraz monitorować logi pod kątem nietypowych żądań. Przegląd konfiguracji zabezpieczeń i polityk dostępu również jest wskazany.

Źródła

• NVD
• Reference
• Reference