CVE-2026-0686是WordPress Webmention插件中的一个服务器端请求伪造（SSRF）漏洞。该漏洞位于'MF2::parse_authorpage'函数中，通过'Receiver::post'函数触发。未经身份验证的攻击者可以利用此漏洞从Web应用程序向任意位置发出Web请求，并可用于查询和修改内部服务的信息。受影响的版本包括0–5.6.2。此问题已在5.7.0版本中修复。
WordPress 的 Webmention 插件在所有版本中，包括 5.6.2 之前，都存在服务器端请求伪造 (SSRF) 漏洞。此漏洞存在于 'MF2::parse_authorpage' 函数中，通过 'Receiver::post' 函数实现。未经身份验证的攻击者可以利用此漏洞，从 Web 应用程序发起对任意位置的网络请求。这可能允许他们查询和潜在地修改内部服务的敏感信息，从而可能危及底层基础设施的安全性。CVSS 严重程度评分为 7.2，表明存在高风险。更新插件对于减轻此风险至关重要。
攻击者可以通过 Webmention 插件发送恶意网络请求来利用此漏洞。这些请求可能针对通常无法从外部访问的内部服务。例如，他们可能尝试访问数据库、管理服务器，甚至在 Web 服务器上执行命令。由于易受攻击函数中缺少身份验证，因此攻击变得容易，无需提供任何凭据即可发送请求。
漏洞利用状态
EPSS
0.05% (17% 百分位)
CISA SSVC
建议的解决方案是将 Webmention 插件更新到 5.7.0 或更高版本。此版本包含 SSRF 漏洞的修复程序。如果无法立即更新，请考虑实施额外的安全措施，例如限制对内部服务的访问以及监控网络流量中的可疑活动。加强防火墙策略也有助于降低风险。更新是消除漏洞的最有效方法。
更新到 5.7.0 版本或更新的已修补版本
漏洞分析和关键警报直接发送到您的邮箱。
SSRF (Server-Side Request Forgery) 是一种漏洞，允许攻击者使服务器向任意位置发送请求。
更新可以修复 SSRF 漏洞并保护您的网站免受潜在攻击。
实施额外的安全措施，例如限制对内部服务的访问以及监控网络流量。
如果您使用的是 Webmention 插件 5.7.0 之前的版本，则容易受到攻击。
及时了解 Webmention 插件和其他 WordPress 插件的最新安全更新非常重要。
CVSS 向量
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。