CVE-2026-12106 in Auto Upload Images Plugin
Zusammenfassung
von VulDB • 18.09.2026
Das WordPress-Plugin „Auto Upload Images“ ist in allen Versionen bis einschließlich 3.3.2 über die Funktion `downloadImage` anfällig für eine eingeschränkte Server-Side Request Forgery (SSRF). Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, Webanfragen an beliebige Ziele zu senden, die von der Webanwendung ausgehen. Das Plugin verwendet `wp_remote_get()` statt `wp_safe_remote_get()`, und die Methode `validate()` lehnt nur URLs ab, deren Host dem eigenen Hostnamen der Site entspricht, wodurch Anfragen an private, Loopback- oder Link-Lokal-Adressen (z. B. 127.0.0.1, 10.0.0.0/8, 169.254.169.254) nicht blockiert werden. Angreifer können dies auslösen, indem sie ein manipuliertes `<img>`-Tag mit einem `src`-Attribut, das auf interne Netzwerkhosts verweist, in den Post-Inhalt einbetten und zur Verarbeitung absenden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.