CVE-2026-10526
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.1 nie weryfikuje adresów URL dostarczanych przez użytkownika przed wykonaniem żądań po stronie serwera przez nieuwierzytelnione punkty końcowe. Umożliwia to nieuwierzytelnionym atakującym skłonienie witryny do wysyłania żądań HTTP do wewnętrznych hostów i usług, których walidacja URL rdzenia WordPressa nie obejmuje (niewidomy Server-Side Request Forgery).
Ocena ryzyka
Ryzyko obejmuje dostęp do wewnętrznych zasobów sieciowych, co może prowadzić do wykrycia wrażliwych usług, ataków na wewnętrzne systemy lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację wtyczki EmbedPress do wersji 4.6.1 lub nowszej oraz wdrożenie dodatkowej walidacji URL na poziomie serwera.
Inne podatności w EmbedPress
Zobacz wszystkie- CVE-2026-61961Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce EmbedPress w wersjach do 4.5.6 włącznie.
- CVE-2026-48872Wysokie
W wersjach EmbedPress do 4.5.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-7796Średnie
Wtyczka EmbedPress – PDF Embedder, Embed PDF viewer, YouTube Videos, 3D FlipBook, Social feeds & more do WordPress do wersji 4.5.3 zawiera podatność na Stored Cross-Site Scripting przez atrybut 'url' bloku. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The EmbedPress WordPress plugin before 4.6.1 does not validate user-supplied URLs before making server-side requests through unauthenticated endpoints, allowing unauthenticated attackers to induce the site to send HTTP requests to internal hosts and services that WordPress core URL validation does not cover (a blind Server-Side Request Forgery).