CVE-2026-12517

ŚrednieCVSS 5.3

Opublikowano: 09/07/2026(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka Fediverse Embeds dla WordPressa przed wersją 1.5.8 nie weryfikuje docelowego adresu URL żądania wykonywanego po stronie serwera przez nieuwierzytelniony endpoint site-info. Umożliwia to anonimowym użytkownikom (nonce jest ujawniany na publicznych stronach z osadzonym elementem) wysyłanie żądań do wewnętrznych i prywatnych adresów sieciowych oraz odczytywanie metadanych strony.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do skanowania wewnętrznej sieci organizacji, uzyskiwania dostępu do poufnych zasobów lub przeprowadzania ataków na inne systemy wewnętrzne, co może prowadzić do wycieku danych lub naruszenia integralności infrastruktury.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Fediverse Embeds do wersji 1.5.8 lub nowszej, która zawiera poprawkę walidującą docelowe adresy URL żądań serwerowych.

Inne podatności w Fediverse Embeds

CVE-2026-12516Średnie
Wtyczka Fediverse Embeds dla WordPressa przed wersją 1.5.8 nie weryfikuje docelowego adresu URL żądania wykonywanego po stronie serwera przez niezautoryzowany endpoint proxy dla multimediów. Umożliwia to anonimowym użytkownikom pobieranie dowolnych adresów URL, w tym wewnętrznych i prywatnych adresów sieciowych, oraz odczytywanie treści odpowiedzi.

Oryginalny opis (angielski, źródło NVD)

The Fediverse Embeds WordPress plugin before 1.5.8 does not validate the destination of the server-side request performed by an unauthenticated site-info endpoint before fetching it, allowing anonymous users (the gating nonce is exposed on public pages carrying an embed) to make the site request internal and private-network URLs and read back the parsed page metadata. This is a Server-Side Request Forgery.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS