Plugin WordPress Ultimate Video Player <= 10.1 - Vulnerabilidade de Solicitação de Forja do Lado do Servidor (SSRF)

A exploração bem-sucedida desta vulnerabilidade SSRF pode permitir que um atacante acesse recursos internos que normalmente não estão acessíveis externamente. Isso pode incluir dados de configuração, arquivos de log, ou até mesmo outros serviços rodando no mesmo servidor. Um atacante poderia, por exemplo, escanear a rede interna em busca de outros serviços vulneráveis, ou obter acesso a informações confidenciais armazenadas em bancos de dados internos. O impacto potencial é alto, especialmente em ambientes onde o servidor web tem acesso a recursos críticos da infraestrutura.

WordPress websites utilizing the Ultimate Video Player plugin, particularly those with internal services accessible via HTTP/HTTPS, are at risk. Shared hosting environments where plugin updates are managed centrally are also vulnerable, as are sites running older, unpatched versions of the plugin.

• wordpress / composer / npm:

grep -r 'http://' /var/www/html/wp-content/plugins/ultimate-video-player/*

• generic web:

curl -I <wordpress_site>/wp-content/plugins/ultimate-video-player/  # Check for unusual headers

1. 2025-09-09Disclosure

   disclosure

1. Reservado2025-06-04
2. Publicada2025-09-09
3. Modificada2026-04-28
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin Ultimate Video Player para a versão 10.1.1 ou superior. Enquanto a atualização não for possível, considere implementar regras de firewall ou WAF (Web Application Firewall) para restringir as requisições que o plugin pode fazer. Monitore os logs do servidor web em busca de requisições suspeitas para recursos internos. Desative temporariamente o plugin se a atualização imediata não for viável e o risco for considerado alto.