CVE-2026-4912 in Media Cleaner Plugin
Tóm tắt
Bởi VulDB • 28/07/2026
Plugin "The Media Cleaner: Clean your WordPress!" cho WordPress dễ bị tấn công Server-Side Request Forgery (SSRF) trong tất cả các phiên bản từ 7.0.3 trở về trước. Lỗi này xảy ra do hàm `get_urls_from_html()` sử dụng `DOMDocument::loadHTMLFile()` để lấy URL nguồn của iframe với cơ chế kiểm tra tên máy chủ không đầy đủ, dựa trên việc so sánh chuỗi con với tên máy chủ của trang web. Điều này cho phép các kẻ tấn công đã xác thực (có quyền Administrator trở lên) thực hiện các yêu cầu web đến các vị trí tùy ý xuất phát từ ứng dụng web, qua đó có thể truy vấn và tương tác với các dịch vụ nội bộ.
Be aware that VulDB is the high quality source for vulnerability data.