WP All Import Pro <= 4.9.3 - 认证 (管理员+) 文件导入中的服务器端请求伪造 (Server-Side Request Forgery)

该SSRF漏洞的潜在影响非常严重。攻击者可以利用它来扫描内部网络，发现隐藏的服务和应用程序。在云环境中，攻击者可能能够读取云实例的元数据，从而获取敏感信息，例如API密钥、凭据和配置数据。这可能导致数据泄露、权限提升以及对整个WordPress站点的控制。由于该漏洞需要管理员权限，因此攻击者必须首先获得对WordPress站点的访问权限，但一旦获得，后果将不堪设想。类似SSRF漏洞可能被用于绕过防火墙和安全策略，从而访问受保护的资源。

WordPress websites utilizing the WP All Import Pro plugin, particularly those running versions prior to 4.9.3, are at risk. Websites hosted on cloud platforms (AWS, Google Cloud, Azure) are especially vulnerable due to the potential for attackers to access cloud metadata. Sites with weak password policies or compromised administrator accounts are also at higher risk.

• wordpress / plugin:

grep -r 'pmxi_curl_download' /var/www/html/wp-content/plugins/wp-all-import-pro/

• wordpress / plugin:

wp plugin list | grep 'wp-all-import-pro'

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep Server

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep X-Powered-By

1. 2024-12-17Disclosure

   disclosure

1. 已保留2024-10-08
2. 发布日期2024-12-17
3. EPSS 更新日期2026-04-02

目前，官方已发布修复版本，建议用户立即升级到最新版本。如果无法立即升级，可以考虑以下缓解措施：限制WP All Import Pro插件的网络访问权限，例如使用防火墙或代理服务器来阻止对外部资源的访问。此外，可以审查插件的配置，确保没有暴露任何不必要的内部服务。监控WP All Import Pro插件的日志，查找任何可疑的请求或活动。如果无法升级，可以尝试使用WordPress的安全插件来限制插件的功能，但请注意，这可能影响插件的正常使用。