CVE-2026-12106 in Auto Upload Images Plugin
Riassunto
di VulDB • 18/09/2026
Il plugin Auto Upload Images per WordPress è vulnerabile a Limited Server-Side Request Forgery (SSRF) in tutte le versioni fino alla 3.3.2, inclusa, tramite la funzione downloadImage. Ciò consente agli attaccanti autenticati con accesso di livello contributor o superiore di effettuare richieste web verso posizioni arbitrarie originate dall'applicazione web. Il plugin utilizza wp_remote_get() anziché wp_safe_remote_get(), e il metodo validate() rifiuta solo gli URL il cui host corrisponde al nome hostname del sito, senza bloccare le richieste a indirizzi privati, loopback o link-local (ad esempio 127.0.0.1, 10.0.0.0/8, 169.254.169.254). Gli attaccanti possono sfruttare questa vulnerabilità incorporando un tag <img> manipolato con un attributo src che punta a host della rete interna nel contenuto del post e inviandolo per l'elaborazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.