CVE-2025-11378
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka ShortPixel Image Optimizer – Optimize Images, Convert WebP & AVIF dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'shortpixel_ajaxRequest' we wszystkich wersjach do 6.3.4 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautor (Contributor) i wyższym eksportowanie i importowanie opcji witryny.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanej modyfikacji ustawień witryny, co może prowadzić do przejęcia kontroli nad witryną lub naruszenia jej integralności.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki ShortPixel Image Optimizer do najnowszej wersji, która zawiera poprawkę.
Inne podatności w ShortPixel Image Optimizer
Zobacz wszystkie- CVE-2026-103070Średnie
Podatność na trwały XSS w pluginie ShortPixel Image Optimizer (wersje do 6.5.6) spowodowana brakiem neutralizacji danych wejściowych podczas generowania strony.
- CVE-2026-97246Średnie
Podatność na PHP Object Injection w ShortPixel Image Optimizer w wersjach do 6.5.5, wykorzystywana przez subskrybenta.
- CVE-2026-17086Wysokie
Wtyczka ShortPixel Image Optimizer – Optimize Images, Convert WebP & AVIF dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 6.5.5 włącznie, poprzez deserializację niezaufanych danych wejściowych. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć obiekt PHP. W podatnym oprogramowaniu nie występuje znany łańcuch POP, więc podatność nie ma skutku, dopóki inna wtyczka lub motyw zawierający łańcuch POP nie zostanie zainstalowany. Jeśli taki łańcuch POP jest obecny, atakujący może wykonywać działania takie jak usuwanie dowolnych plików, pozyskiwanie poufnych danych lub wykonanie kodu.
- CVE-2026-39471Wysokie
Wersje ShortPixel Image Optimizer do 6.4.3 są podatne na atak typu PHP Object Injection, co może prowadzić do nieautoryzowanego dostępu do systemu.
Oryginalny opis (angielski, źródło NVD)
The ShortPixel Image Optimizer – Optimize Images, Convert WebP & AVIF plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'shortpixel_ajaxRequest' AJAX action in all versions up to, and including, 6.3.4. This makes it possible for authenticated attackers, with Contributor-level access and above, to export and import site options.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS