All In One Image Viewer Block <= 1.0.2 - 通过 image-proxy 端点进行未经身份验证的服务器端请求伪造 (Server-Side Request Forgery via image-proxy Endpoint)

该SSRF漏洞的潜在影响非常严重。攻击者可以利用该漏洞发起对内部网络的请求，绕过防火墙和安全策略，访问敏感数据或执行恶意操作。例如，攻击者可以扫描内部网络，寻找其他易受攻击的服务，或者利用该漏洞访问数据库、API或其他内部资源。如果内部服务存在身份验证漏洞，攻击者甚至可以利用SSRF漏洞进行进一步的攻击，例如读取内部配置信息或执行远程代码。由于该漏洞无需身份验证，攻击者可以轻易利用它来攻击WordPress网站。

WordPress sites using the All In One Image Viewer Block plugin, particularly those with internal services accessible from the web server, are at risk. Shared hosting environments where users have limited control over installed plugins are also particularly vulnerable.

• wordpress / composer / npm:

wp plugin list | grep "All In One Image Viewer Block"

• generic web:

curl -I https://your-wordpress-site.com/wp-json/aio-image-viewer/v1/image-proxy?url=http://internal-service | head -n 1

• wordpress / composer / npm:

wp plugin update all-in-one-image-viewer-block

• wordpress / composer / npm:

wp plugin status all-in-one-image-viewer-block

1. 2026-02-05Disclosure

   disclosure

1. 已保留2026-01-21
2. 发布日期2026-02-05
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-23

为了缓解CVE-2026-1294漏洞，最有效的措施是立即升级All In One Image Viewer Block插件至1.0.3版本或更高版本。如果无法立即升级，可以考虑使用Web应用防火墙（WAF）来过滤恶意请求，阻止对图像代理REST API端点的未经授权访问。此外，可以限制WordPress服务器的访问权限，只允许必要的网络流量通过，从而降低SSRF漏洞的潜在影响。在升级后，请确认插件已成功更新，并且图像代理功能正常工作。

活跃安装数

200

插件评分

0.0

需要WordPress版本

5.0+

兼容至

6.9.4

需要PHP版本

7.1+