CVE-2025-15693

NiskieCVSS 2.7

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka JCH Optimize dla WordPressa przed wersją 5.0.1 nie odpowiednio ogranicza ścieżki katalogu podanej do jednej z administracyjnych funkcji przeglądania obrazów do wnętrza witryny. Umożliwia to użytkownikom z wysokimi uprawnieniami, administratorom w pojedynczej witrynie i administratorom podwitryn w multisite, wyliczanie katalogów i nazw plików poza katalogiem głównym witryny.

Ocena ryzyka

Organizacja narażona jest na ujawnienie struktury katalogów i nazw plików poza katalogiem głównym, co może ułatwić ataki i naruszyć poufność informacji o systemie.

Rekomendacja

Zaleca się aktualizację wtyczki JCH Optimize do wersji 5.0.1 lub nowszej oraz ograniczenie uprawnień administratorów w środowiskach multisite.

Inne podatności w JCH Optimize

CVE-2026-84934Wysokie
Wtyczka JCH Optimize dla WordPressa przed wersją 6.0.1 nie wykonuje kontroli uprawnień na jednej z uwierzytelnionych akcji AJAX i pozwala żądaniu wybrać, która wewnętrzna akcja zostanie uruchomiona. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybenci, importowanie dowolnych ustawień wtyczki JCH Optimize przed wersją 6.0.1 i przechowywanie skryptu, który wykonuje się w przeglądarce każdego odwiedzającego lub administratora przeglądającego witrynę.

Oryginalny opis (angielski, źródło NVD)

The JCH Optimize WordPress plugin before 5.0.1 does not properly restrict a directory path provided to one of its administrative image-browsing features to within the site, allowing high-privilege users, administrators on single-site and sub-site administrators on multisite, to enumerate directories and file names outside the web root.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS