CVE-2026-12095

Nome do Software Vulnerável e Versões Afetadas Kargo Takip versões anteriores a 1.3

Descrição O plugin Kargo Takip para WordPress contém um problema de Server-Side Request Forgery (SSRF). Isso permite que atacantes não autenticados iniciem requisições web para locais arbitrários a partir da aplicação web, o que pode ser usado para consultar e modificar informações de serviços internos. O problema ocorre através do parâmetro api url. O script retorna dados de resposta de APIs internas, especificamente o valor de qualquer chave auth em um corpo de resposta JSON, diretamente para o navegador do atacante. Isso possibilita a exfiltração de respostas de serviços internos, como endpoints de metadados de instâncias em nuvem.

Recomendações Atualize para uma versão posterior a 1.2. Como medida paliativa temporária, restrinja o acesso ao parâmetro api url para minimizar o risco de exploração.