CVE-2026-96533: SSRF в WordPress-плагине Testimonials Widget
В WordPress-плагине Testimonials Widget (версии до 4.0.4 включительно) обнаружена уязвимость класса SSRF. Неаутентифицированный злоумышленник может заставить сервер обратиться к внутренним сервисам и прочитать их ответы. Проблема затрагивает все сайты с установленной уязвимой версией плагина.
Подробности
Уязвимости подвержены все версии плагина Testimonials Widget вплоть до 4.0.4 включительно. Согласно описанию CVE, плагин не проверяет пользовательский URL перед тем, как выполнить серверный запрос по нему и сохранить полученный ответ в виде публично доступного файла. Это открывает возможность для неаутентифицированного злоумышленника — то есть без необходимости входа в административную панель WordPress — инициировать от имени сервера произвольные HTTP-запросы. На практике это позволяет обращаться к внутренним сервисам, недоступным извне, и получать их ответы, поскольку результат запроса сохраняется как общедоступный файл. Подобный вектор атаки может привести к утечке конфиденциальных данных, получению сведений о внутренней инфраструктуре и созданию условий для дальнейшего развития атаки. Особую опасность SSRF представляет для облачных и корпоративных сред, где за периметром веб-приложения расположены сервисы метаданных, внутренние API, базы данных и административные интерфейсы. Через такие запросы атакующий способен извлечь токены, ключи и другую чувствительную информацию. На момент публикации записи CVE информация о значении базовой оценки CVSS отсутствует, поэтому формальный уровень критичности не приводится. Тем не менее, с учётом отсутствия требования аутентификации и возможности доступа к внутренним ресурсам, риск следует оценивать как высокий.Что делать
Основная рекомендация — обновить плагин Testimonials Widget до версии, в которой уязвимость устранена. Если на текущий момент исправленная версия недоступна, следует рассмотреть временные меры: - отключить плагин, если он не используется критично для работы сайта; - ограничить исходящие сетевые запросы сервера, применив правила файрвола и блокировку доступа к внутренним адресам и сервисам метаданных (например, 169.254.169.254); - настроить мониторинг подозрительных исходящих соединений с веб-сервера; - проверять журналы на предмет необычных запросов и появления новых публично доступных файлов, созданных плагином. Также рекомендуется провести аудит сайта на предмет возможной эксплуатации уязвимости до момента обновления. Итог: CVE-2026-96533 — серьёзная SSRF-уязвимость в популярном WordPress-плагине, эксплуатация которой не требует аутентификации. Владельцам сайтов с Testimonials Widget следует как можно скорее обновить компонент или применить компенсирующие меры защиты.Источник: CVE Project (cvelistV5)