WowOptin: Next-Gen Popup Maker <= 1.4.29 - 'link' 参数在 REST API 中存在未经验证的服务器端请求伪造 (Server-Side Request Forgery)

该SSRF漏洞的潜在影响非常严重。攻击者可以利用该漏洞访问内部网络资源，例如数据库服务器、管理界面或其他敏感服务，这些资源通常对外部网络不可见。攻击者还可以利用该漏洞读取本地文件，例如配置文件或日志文件，从而获取敏感信息。更进一步，攻击者可能利用该漏洞发起进一步的攻击，例如扫描内部网络、执行恶意代码或进行数据窃取。由于该漏洞无需身份验证，攻击者可以轻松利用它来攻击易受攻击的WordPress站点。

WordPress websites using the WowOptin: Next-Gen Popup Maker plugin, particularly those with limited network segmentation or internal services accessible from the web server, are at risk. Shared hosting environments where users have limited control over plugin configurations are also particularly vulnerable.

• wordpress / composer / npm:

grep -r 'optn/v1/integration-action' /var/www/html/wp-content/plugins/wow-optin-next-gen-popup-maker/

• generic web:

curl -I https://your-wordpress-site.com/optn/v1/integration-action  # Check for 200 OK response indicating endpoint exposure

1. 2026-03-21Disclosure

   disclosure

1. 已保留2026-03-16
2. 发布日期2026-03-21
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-28

最有效的缓解措施是立即将WowOptin: Next-Gen Popup Maker插件升级至1.4.30或更高版本。如果无法立即升级，可以考虑禁用插件的Webhook功能，或者限制Webhook集成操作允许访问的URL。此外，可以配置WordPress服务器的防火墙或Web应用防火墙(WAF)来阻止对optn/v1/integration-action端点的恶意请求。监控WordPress服务器的访问日志，查找可疑的HTTP请求，例如指向内部网络的请求。

活跃安装数

1K已知

插件评分