CVE-2026-107704
KrytyczneCVSS 9.8Streszczenie
Gem image_optimizer w wersjach 1.3.0 do 1.9.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w metodzie ImageOptimizer#identify_format. Atakujący kontrolujący ścieżkę do obrazu, np. nazwę przesłanego pliku, może dodać metaznaki powłoki, takie jak ';', które są wykonywane przez Ruby backticks z uprawnieniami procesu Ruby.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub zainstalowania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji gemu oraz unikanie przekazywania niesprawdzonych ścieżek do metody identify_format. Należy również walidować i sanityzować dane wejściowe.
Inne podatności w image_optimizer
Zobacz wszystkie- CVE-2026-90953Średnie
Wtyczka Image Optimizer dla WordPressa przed wersją 1.7.7 nie egzekwuje zamierzonej kontroli uprawnień na kilku swoich trasach REST do odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt metadanych załączników i statystyk całej witryny, które powinny być ograniczone do administratorów.
- CVE-2026-5821Wysokie
Wtyczka Image Optimizer dla WordPressa w wersjach do 1.7.4 zawiera podatność na usuwanie dowolnych plików. Wynika to z braku walidacji ścieżek w funkcji Image_Backup::remove(), gdzie ścieżki plików kopii zapasowych przechowywane w metadanych posta są używane bezpośrednio w operacjach usuwania bez sprawdzenia, czy znajdują się w katalogu uploads. Uwierzytelniony atakujący z dostępem na poziomie Autora może zmodyfikować pole meta image_optimizer_metadata we własnych załącznikach, wstrzykując dowolne ścieżki plików, które zostaną usunięte po skasowaniu załącznika.
Oryginalny opis (angielski, źródło NVD)
The image_optimizer Ruby gem 1.3.0 through 1.9.0 contains an OS command injection vulnerability in ImageOptimizer#identify_format that allows attackers to execute commands by supplying a crafted image path when the identify option is enabled. Attackers controlling the path, such as an uploaded file name, can append shell metacharacters like ';' that are executed via Ruby backticks with the Ruby process privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS