CVE-2026-102375
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Optimole do WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.2.14 włącznie.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji administracyjnych bez odpowiednich uprawnień, co może prowadzić do nieautoryzowanych zmian w konfiguracji lub danych.
Rekomendacja
Zaktualizuj wtyczkę Optimole do najnowszej dostępnej wersji, która zawiera poprawkę bezpieczeństwa.
Inne podatności w Optimole
Zobacz wszystkie- CVE-2026-96530Średnie
Wtyczka Optimole przed wersją 4.2.15 nie przeprowadza odpowiedniej kontroli uprawnień przed ujawnieniem przechowywanych danych konta usługi optymalizacji obrazów w widżecie pulpitu. Pozwala to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, na odczyt poświadczeń usług zewnętrznych.
- CVE-2026-96531Średnie
Wtyczka Optimole do WordPressa przed wersją 4.2.13 nie escapuje nierozpoznanych atrybutów bloku odtwarzacza wideo przed wyrenderowaniem ich na elemencie opakowującym. Użytkownicy z rolą Autora i wyższą mogą przechowywać atrybuty obsługi zdarzeń, które wykonują skrypty w przeglądarce każdego użytkownika, np. administratora, który przegląda post.
- CVE-2026-84829Wysokie
Wtyczka Optimole dla WordPressa przed wersją 4.2.12 nieprawidłowo escapuje wartość dostarczoną przez użytkownika przed użyciem jej do zbudowania atrybutu tagu obrazu. Umożliwia to niezalogowanym użytkownikom wstrzyknięcie dowolnych atrybutów do stron serwowanych każdemu odwiedzającemu, co prowadzi do Stored Cross-Site Scripting.
- CVE-2026-77365Wysokie
Wtyczka Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'a' (above_fold_images) we wszystkich wersjach do 4.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzykiwanie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-57673Wysokie
Wtyczka Optimole w wersji 4.2.7 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.
- CVE-2025-11519Średnie
Wtyczka Optimole dla WordPressa do wersji 4.1.0 włącznie jest podatna na Insecure Direct Object Reference (IDOR) w punkcie końcowym REST API /wp-json/optml/v1/move_image z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym przenoszenie multimediów, które nie należą do nich.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Optimole Optimole optimole-wp allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Optimole: from n/a through 4.2.14.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS