CVE-2026-13700
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka WooMS do wersji 9.14 nie waliduje adresu URL podanego przez użytkownika przed użyciem go w żądaniu po stronie serwera i dołącza zapisane poświadczenia integracji firm trzecich do każdego takiego żądania. Pozwala to nieuwierzytelnionym atakującym na przeprowadzenie ataków SSRF i ujawnienie skonfigurowanych poświadczeń integracji, gdy odpowiednia funkcja synchronizacji danych jest włączona.
Ocena ryzyka
Atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych zasobów, co może prowadzić do ujawnienia poufnych danych lub uzyskania dostępu do wewnętrznych systemów. Dodatkowo może dojść do wycieku poświadczeń integracji.
Rekomendacja
Zaktualizuj wtyczkę WooMS do najnowszej wersji, gdy tylko producent wyda poprawkę. Wyłącz funkcję synchronizacji danych, jeśli nie jest niezbędna, i ogranicz dostęp do niej.
Oryginalny opis (angielski, źródło NVD)
The WooMS WordPress plugin through 9.14 does not validate a user-supplied URL before using it in a server-side request and attaches stored third-party integration credentials to every such request, allowing unauthenticated attackers to perform Server-Side Request Forgery and to disclose the configured integration credentials when the relevant data-sync feature is enabled.