CVE-2024-5021

WordPress Picture / Portfolio / Media Gallery <= 3.0.1 - Unauthenticated Server-Side Request Forgery

CVSS 3.1Critical

9.3/ 10.0

Опубликовано

19 июня 2024 г.

Обновлено

8 апреля 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите плагин Picture / Portfolio / Media Gallery до версии выше 3.0.1 или удалите плагин при отсутствии патча вендора.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Критическая неаутентифицированная SSRF-уязвимость в плагине WordPress Picture / Portfolio / Media Gallery. Небезопасный вызов file_get_contents с контролируемым URL.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Код плагина передает непроверенный внешний адрес напрямую в функцию PHP file_get_contents, позволяя неавторизованному злоумышленнику инициировать HTTP-запросы от имени сервера.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Сканирование внутренних подсетей, доступ к облачным метаданным (включая AWS IAM/GCP), вызов недоступных снаружи внутренних API и потенциальная модификация внутренней инфраструктуры.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

nimble3WordPress Picture / Portfolio / Media Gallery

>= 0➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/224a2d6d-7fdc-43a8-a8c9-26213b604433?source=cve
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/nimble-portfolio/trunk/includes/prettyphoto/download-image.php#L17

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2024-5021: WordPress Picture / Portfolio / Media Gallery <= 3.0.1 - Unauthenticated Server-Side Request Forgery. URL: https://cve.futuretools.ru/cve/CVE-2024-5021

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2024_5021,
  title = {{CVE-2024-5021: WordPress Picture / Portfolio / Media Gallery <= 3.0.1 - Unauthenticated Server-Side Request Forgery}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2024-5021}},
  note = {Оперативный инженерный анализ киберугроз}
}