Plateforme
wordpress
Composant
content-syndication-toolkit
Corrigé dans
1.3.1
La vulnérabilité CVE-2026-3478 est une faille de Server-Side Request Forgery (SSRF) affectant le plugin Content Syndication Toolkit pour WordPress. Cette faille permet à un attaquant non authentifié d'effectuer des requêtes arbitraires au nom du serveur, compromettant potentiellement la confidentialité et l'intégrité des données. Elle touche toutes les versions du plugin jusqu'à la version 1.3 inclus.
L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de contourner les restrictions de pare-feu et d'accéder à des ressources internes qui ne seraient normalement pas accessibles depuis l'extérieur. Un attaquant pourrait ainsi interroger des services internes, lire des fichiers sensibles, ou même tenter d'exploiter d'autres vulnérabilités sur le réseau interne. Le plugin utilise la bibliothèque ReduxFramework, et l'absence de validation de l'URL passée à wpremoterequest() rend l'attaque particulièrement simple. Cette vulnérabilité est similaire à d'autres failles SSRF où l'absence de validation des entrées utilisateur permet l'exécution de requêtes non autorisées.
La vulnérabilité CVE-2026-3478 a été rendue publique le 21 mars 2026. Il n'y a pas d'indication qu'elle soit actuellement activement exploitée, mais la simplicité de l'exploitation et la large surface d'attaque potentielle en font une cible attrayante. Aucun PoC public n'est connu à ce jour, mais la vulnérabilité est facilement exploitable manuellement. La vulnérabilité n'est pas encore répertoriée sur le KEV de CISA.
WordPress websites using the Content Syndication Toolkit plugin, particularly those with internal services accessible via HTTP, are at risk. Shared hosting environments where multiple websites share the same server are especially vulnerable, as a compromise of one site could potentially lead to exploitation of other sites on the same server. Legacy WordPress installations with outdated plugins are also at increased risk.
• wordpress / composer / npm:
grep -r 'redux_p' /var/www/html/wp-content/plugins/content-syndication-toolkit/• wordpress / composer / npm:
wp plugin list | grep 'content-syndication-toolkit'• generic web:
Check WordPress plugin directory for updates and security advisories related to Content Syndication Toolkit.
• generic web:
Monitor WordPress access logs for unusual outbound HTTP requests originating from the wpajaxnoprivreduxp endpoint.
disclosure
Statut de l'Exploit
EPSS
0.08% (percentile 24%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour le plugin Content Syndication Toolkit vers une version corrigée, dès qu'elle sera disponible. En attendant, une solution de contournement possible est de configurer un pare-feu applicatif web (WAF) pour bloquer les requêtes vers l'action AJAX redux_p ou pour filtrer les URLs passées à cette action. Il est également possible de restreindre l'accès au plugin via des règles de pare-feu au niveau du serveur. Surveillez attentivement les journaux d'accès et d'erreurs du serveur web pour détecter des requêtes suspectes.
Aucun correctif connu n'est disponible. Veuillez examiner en profondeur les détails de la vulnérabilité et mettre en œuvre des mesures d'atténuation en fonction de la tolérance au risque de votre organisation. Il peut être préférable de désinstaller le logiciel affecté et de trouver un remplacement.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-3478 is a Server-Side Request Forgery vulnerability in the Content Syndication Toolkit WordPress plugin, allowing attackers to make arbitrary HTTP requests.
If you are using the Content Syndication Toolkit plugin in versions 0.0 through 1.3, you are potentially affected by this vulnerability.
Upgrade the Content Syndication Toolkit plugin to a patched version. If upgrading is not possible, implement a WAF rule to block malicious requests.
While no widespread exploitation has been confirmed, the ease of exploitation suggests a potential for active attacks.
Refer to the plugin developer's website or the WordPress plugin directory for official advisories and updates.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.