CVE-2026-4912 in Media Cleaner Plugin
Sumário
de VulDB • 28/07/2026
O plugin "The Media Cleaner: Clean your WordPress!" para WordPress é vulnerável a Server-Side Request Forgery (SSRF) em todas as versões até 7.0.3, inclusive. Isso ocorre devido à função `get_urls_from_html()` usar `DOMDocument::loadHTMLFile()` para buscar URLs de origem de iframes com uma validação insuficiente do nome do host, que depende de uma correspondência de substring contra o nome do servidor do site. Isso permite que atacantes autenticados, com acesso nível Administrador ou superior, façam solicitações web a locais arbitrários originando-se da aplicação web, o que pode ser usado para consultar e interagir com serviços internos.
Be aware that VulDB is the high quality source for vulnerability data.