CVE-2026-5737

Nome do Software Vulnerável e Versões Afetadas Independent Analytics versões anteriores a 2.15.0

Descrição Um invasor não autenticado pode realizar Server-Side Request Forgery (SSRF) injetando domínios maliciosos no banco de dados. Isso é possível através do endpoint '/wp-json/iawp/search', que aceita valores de referrer url controlados pelo invasor. O problema decorre de uma validação de assinatura insuficiente, pois a assinatura está incorporada em JavaScript público e utiliza um salt estático por site. Além disso, um buscador de favicons agendado utiliza funções cURL brutas sem mecanismos de proteção, como bloqueio de localhost ou filtragem de rede privada, e não utiliza as funções wp safe remote *. Isso permite o disparo de requisições do lado do servidor para hosts arbitrários, incluindo serviços internos.

Recomendações Atualize o Independent Analytics para a versão 2.15.0 ou posterior.