CVE-2026-11397
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WP Import Export Lite dla WordPressa jest podatna na fałszowanie żądań po stronie serwera (SSRF) we wszystkich wersjach do 3.9.30 włącznie. Podatność występuje w akcji AJAX wpie_import_upload_file_from_url, gdzie po nieudanym wywołaniu wp_safe_remote_get() (które blokuje prywatne adresy IP) następuje wywołanie GuzzleHttp\Client::request() bez ochrony SSRF i z wyłączoną weryfikacją TLS. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora wysyłanie żądań do dowolnych lokalizacji, w tym do wewnętrznych usług, takich jak endpoint metadanych chmury.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość skanowania i modyfikowania danych w wewnętrznych usługach, takich jak endpointy metadanych chmury (np. 169.254.169.254), co może prowadzić do wycieku wrażliwych informacji lub eskalacji uprawnień w środowisku chmurowym.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WP Import Export Lite do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do wtyczki tylko dla zaufanych administratorów oraz wdrożenie reguł WAF blokujących podejrzane żądania URL.
Inne podatności w WP Import Export Lite
Zobacz wszystkie- CVE-2026-76559Niskie ryzyko· EPSS 7%
Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio weryfikuje adresów URL przed ich pobraniem podczas procesu importu, co pozwala użytkownikom z uprawnieniami importu (domyślnie administratorzy) powodować wysyłanie przez stronę żądań do wewnętrznych hostów i usług oraz odczytywać ich odpowiedzi. Jest to niepełna poprawka dla CVE-2026-11397.
- CVE-2026-76558Niskie ryzyko· EPSS 10%
Plugin WP Import Export Lite przed wersją 3.9.33 nie escapuje nazw pól niestandardowych pobranych z bazy danych przed wstawieniem ich do DOM jednego z ekranów administracyjnych, co pozwala użytkownikom z rolą co najmniej contributor na przeprowadzanie ataków Stored XSS, które wyzwalają się w przeglądarce użytkownika z wysokimi uprawnieniami, takiego jak administrator, przeglądającego ten ekran.
- CVE-2026-76557Niskie ryzyko· EPSS 11%
Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości konfiguracji importu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom, którym administrator nadał uprawnienia importu, przeprowadzać ataki SQL injection.
- CVE-2026-76556Niskie ryzyko· EPSS 11%
Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości filtrów eksportu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom posiadającym uprawnienia eksportu (domyślnie administratorzy, mogą być przyznane niższym rolom) przeprowadzać ataki SQL injection.
- CVE-2026-76555Niskie ryzyko· EPSS 9%
Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pliku podanej przez użytkownika przed jej odczytem i skopiowaniem do publicznie dostępnego katalogu. Umożliwia to użytkownikom z uprawnieniem importu ujawnienie wrażliwych plików z serwera, w tym plików spoza katalogu web root. Ten sam kod dodatkowo łagodzi uprawnienia systemu plików dla dowolnej podanej ścieżki, niezależnie od tego, czy kopiowanie się powiedzie.
- CVE-2026-76553Niskie ryzyko· EPSS 8%
Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pochodzącej z przechowywanych danych użytkownika przed rekurencyjnym usunięciem katalogu, na który wskazuje. Umożliwia to użytkownikom, którym administrator delegował odpowiednie uprawnienie, usunięcie dowolnych katalogów wraz ze wszystkimi plikami, w tym spoza katalogu web root.
- CVE-2026-76552Niskie ryzyko· EPSS 17%
Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje typu, rozszerzenia ani zawartości plików pobieranych z adresu URL podanego przez użytkownika podczas importu. Umożliwia to użytkownikom z uprawnieniem importu zapisanie dowolnych plików, w tym wykonywalnych, na serwerze i osiągnięcie zdalnego wykonania kodu.
- CVE-2026-76551Niskie ryzyko· EPSS 20%
Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie ogranicza, która funkcja PHP może być zastosowana do eksportowanych wartości pól. Umożliwia to użytkownikom z uprawnieniem eksportu wywołanie dowolnych funkcji na kontrolowanych przez nich wartościach, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-76550Niskie ryzyko· EPSS 20%
Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.34 nie waliduje ścieżki wyjściowej podanej przez użytkownika podczas zapisu plików eksportu. Umożliwia to użytkownikom z uprawnieniem eksportu zapisanie plików o dowolnych nazwach w dowolnych lokalizacjach na serwerze, co prowadzi do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The WP Import Export Lite plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to and including 3.9.30 via the wpie_import_upload_file_from_url AJAX action. The plugin's URL downloader first calls wp_safe_remote_get() (which correctly blocks private/reserved IP ranges), but when that call returns a WP_Error — the exact outcome for any blocked internal host — the Download::download_file() method falls back to GuzzleHttp\Client::request() with the original attacker-supplied URL and no SSRF protection (and with TLS verification disabled). This makes it possible for authenticated attackers, with administrator-level access and above, to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services such as the cloud metadata endpoint at 169.