CVE-2025-13401
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Autoptimize dla WordPress jest podatna na przechowywany cross-site scripting (XSS) poprzez metabox LCP Image to preload we wszystkich wersjach do 3.1.13 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych na atrybutach obrazu dostarczonych przez użytkownika w funkcji "create_img_preload_tag". Umożliwia to uwierzytelnionym atakującym z poziomem współpracownika i wyższym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, danych lub innych działań w kontekście uwierzytelnionego użytkownika.
Rekomendacja
Zaktualizuj wtyczkę Autoptimize do wersji nowszej niż 3.1.13, która naprawia podatność XSS.
Inne podatności w Autoptimize
Zobacz wszystkie- CVE-2026-14995Wysokie
Wtyczka Autoptimize dla WordPressa do wersji 3.1.15.1 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez ścieżkę REQUEST_URI. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wyjścia, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnych skryptów webowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Warunkiem wykorzystania jest aktywacja funkcji Critical CSS z poprawnie skonfigurowanym kluczem API.
- CVE-2026-78471Średnie
Wtyczka Autoptimize dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez nazwę autora komentarza we wszystkich wersjach do 3.1.15.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga spełnienia dodatkowych warunków, takich jak włączenie opcji 'Lazy-load images?' przez administratora, obecność pliku w3-total-cache/w3-total-cache.php z wyłączoną wtyczką, załadowanie klasy Minify_HTML przez inną wtyczkę oraz zatwierdzenie złośliwego komentarza przez moderatora.
Oryginalny opis (angielski, źródło NVD)
The Autoptimize plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the LCP Image to preload metabox in all versions up to, and including, 3.1.13 due to insufficient input sanitization and output escaping on user-supplied image attributes in the "create_img_preload_tag" function. This makes it possible for authenticated attackers, with contributor level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS