CVE-2026-12516

ŚrednieCVSS 5.3

Opublikowano: 09/07/2026(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka Fediverse Embeds dla WordPressa przed wersją 1.5.8 nie weryfikuje docelowego adresu URL żądania wykonywanego po stronie serwera przez niezautoryzowany endpoint proxy dla multimediów. Umożliwia to anonimowym użytkownikom pobieranie dowolnych adresów URL, w tym wewnętrznych i prywatnych adresów sieciowych, oraz odczytywanie treści odpowiedzi.

Ocena ryzyka

Organizacja narażona jest na wyciek poufnych danych z wewnętrznej sieci oraz wykorzystanie serwera jako otwartego proxy do ataków na inne systemy. Atakujący może skanować wewnętrzne zasoby i odczytywać ich zawartość bez autoryzacji.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Fediverse Embeds do wersji 1.5.8 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz endpoint proxy dla multimediów lub ogranicz dostęp do niego za pomocą reguł zapory sieciowej.

Inne podatności w Fediverse Embeds

CVE-2026-12517Średnie
Wtyczka Fediverse Embeds dla WordPressa przed wersją 1.5.8 nie weryfikuje docelowego adresu URL żądania wykonywanego po stronie serwera przez nieuwierzytelniony endpoint site-info. Umożliwia to anonimowym użytkownikom (nonce jest ujawniany na publicznych stronach z osadzonym elementem) wysyłanie żądań do wewnętrznych i prywatnych adresów sieciowych oraz odczytywanie metadanych strony.

Oryginalny opis (angielski, źródło NVD)

The Fediverse Embeds WordPress plugin before 1.5.8 does not validate the destination of the server-side request performed by an unauthenticated media-proxying endpoint, allowing anonymous users to make the site fetch arbitrary URLs, including internal and private-network addresses, and read back the response body. This results in a full-read Server-Side Request Forgery and open proxy.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS