CVE-2026-4912 in Media Cleaner Plugin
Riassunto
di VulDB • 28/07/2026
Il plugin per WordPress "The Media Cleaner: Clean your WordPress!" è vulnerabile a Server-Side Request Forgery in tutte le versioni fino alla 7.0.3 inclusa. Ciò è dovuto alla funzione `get_urls_from_html()` che utilizza `DOMDocument::loadHTMLFile()` per recuperare gli URL delle sorgenti iframe con un controllo di validazione del nome host insufficiente, basato su una corrispondenza di sottostringa rispetto al nome server del sito. Questo consente agli attaccanti autenticati, dotati di accesso a livello di Amministratore o superiore, di effettuare richieste web verso posizioni arbitrarie originate dall'applicazione web, che possono essere utilizzate per interrogare e interagire con servizi interni.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.