CVE-2026-46697

Nome do Software Vulnerável e Versões Afetadas Fediverse Embeds versões anteriores a 1.5.8

Description Uma rota REST não autenticada 'ftf/media-proxy' (localizada em includes/Media Proxy.php) permite que visitantes anônimos realizem um Server-Side Request Forgery (SSRF) de leitura completa ou utilizem o sistema como um proxy aberto. O endpoint aceita uma URL codificada em base64 e a encaminha para a função wp remote get($url) sem aplicar uma lista de permissões de domínios autorizados. Embora existisse um mecanismo de validação, ele apenas definia uma flag local $can download media que não era utilizada, resultando no retorno do corpo completo da resposta ao solicitante.

Recommendations Atualizar para a versão 1.5.8.