Description
Hurrakify是WordPress的一个插件，用于在网站上添加互动式提示功能。该插件在2.4及之前的版本中存在服务器端请求伪造（SSRF）漏洞。漏洞源于 /wp-admin/admin-ajax.php 接口中的 hurraki_tooltip_proxy action 未对用户提供的 target 参数进行充分验证，攻击者可构造恶意URL使服务器向内网或外部任意地址发送HTTP请求。
WordPress Hurrakify /wp-admin/admin-ajax.php hurraki_tooltip_proxy 服务器端请求伪造漏洞（CVE-2024-54330）
PoC
None yet. Search at https://trap.biu.life/?ref=rssReferences
https://nvd.nist.gov/vuln/detail/CVE-2024-54330
https://github.com/RandomRobbieBF/CVE-2024-54330
https://patchstack.com/database/wordpress/plugin/hurrakify/vulnerability/wordpress-hurrakify-plugin-2-4-server-side-request-forgery-ssrf-vulnerability
https://www.cve.org/CVERecord?id=CVE-2024-54330
https://www.incibe.es/index.php/en/incibe-cert/early-warning/vulnerabilities/cve-2024-54330