CVE-2026-4302 in WowOptin Plugin
Resumen
por MITRE • 2026-03-21
El plugin WowOptin: Next-Gen Popup Maker para WordPress es vulnerable a falsificación de petición del lado del servidor en todas las versiones hasta la 1.4.29, inclusive. Esto se debe a que el plugin expone un endpoint de API REST de acceso público (optn/v1/integration-action) con un permission_callback de __return_true que pasa URLs proporcionadas por el usuario directamente a wp_remote_get() y wp_remote_post() en el método Webhook::add_subscriber() sin ninguna validación o restricción de URL. El plugin no utiliza wp_safe_remote_get/post que proporcionan protección SSRF incorporada. Esto hace posible que atacantes no autenticados realicen peticiones web a ubicaciones arbitrarias originadas desde la aplicación web, lo que puede usarse para consultar y modificar información de servicios internos.
If you want to get best quality of vulnerability data, you may have to visit VulDB.