CVE-2025-57899
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Wtyczka WP Compress (wp-compress-image-optimizer) dla WordPressa ma brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Podatność dotyczy wersji do 6.50.54 włącznie.
Ocena ryzyka
Osoba nieautoryzowana może uzyskać dostęp do funkcji, które powinny być chronione, co może prowadzić do nieautoryzowanych zmian w konfiguracji lub danych. Może to naruszyć integralność i poufność systemu.
Rekomendacja
Należy zaktualizować wtyczkę WP Compress do najnowszej wersji, która zawiera poprawkę. Jeśli nie jest dostępna, należy ograniczyć dostęp do funkcji wtyczki za pomocą odpowiednich reguł.
Inne podatności w WP Compress
Zobacz wszystkie- CVE-2026-73343Krytyczne
Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod (RCE) w wtyczce WP Compress w wersjach starszych niż 7.20.01.
- CVE-2026-84757Wysokie
Nieuwierzytelniona zmiana ustawień w WP Compress w wersjach do 7.21.28. Atakujący może zmienić konfigurację wtyczki bez logowania.
- CVE-2026-17608Średnie
Wtyczka WP Compress – Instant Performance & Speed Optimization dla WordPressa do wersji 7.10.09 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce. Nieuwierzytelnieni atakujący mogą nakłonić administratora do wykonania akcji, która usuwa dowolne opcje WordPressa, w tym krytyczne, takie jak siteurl, home, active_plugins, template i stylesheet, co może spowodować awarię strony lub pełny reset wtyczek i motywów.
- CVE-2026-9066Średnie
Wtyczka WP Compress dla WordPress przed wersją 7.10.04 nie waliduje wartości parametru zapytania kontrolującego host CDN assetów przed użyciem go do budowania URL-i plików JavaScript, co prowadzi do Reflected XSS. Gdy odwiedzający kliknie spreparowany link, loader wtyczki wstrzykuje elementy skryptu wskazujące na kontrolowane przez atakującego źródło, umożliwiając wykonanie dowolnego JavaScript w sesji ofiary na docelowej stronie.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in AresIT WP Compress wp-compress-image-optimizer allows Accessing Functionality Not Properly Constrained by ACLs.This issue affects WP Compress: from n/a through <= 6.50.54.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS