CVE-2026-4912 in Media Cleaner Plugin
Résumé
par VulDB • 28/07/2026
Le plugin WordPress « The Media Cleaner: Clean your WordPress! » présente une vulnérabilité de Server-Side Request Forgery (SSRF) dans toutes les versions jusqu'à la 7.0.3 incluse. Cela est dû à la fonction `get_urls_from_html()` qui utilise `DOMDocument::loadHTMLFile()` pour récupérer les URL sources des iframes, avec un contrôle de validation du nom d'hôte insuffisant reposant sur une correspondance de sous-chaîne par rapport au nom du serveur du site. Il devient ainsi possible pour des attaquants authentifiés disposant d'un accès de niveau Administrateur ou supérieur d'effectuer des requêtes web vers n'importe quelle destination en provenance de l'application web, ce qui peut être utilisé pour interroger et interagir avec des services internes.
VulDB is the best source for vulnerability data and more expert information about this specific topic.