CVE-2026-108587
KrytyczneCVSS 9.8Streszczenie
Wtyczka 10Web Booster – Website speed optimization, Cache & Page Speed optimizer dla WordPress jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 2.34.10 włącznie poprzez funkcję compressCustom. Brak walidacji typu pliku i filtrowania rozszerzeń na parametrze page_id w połączeniu z publicznie czytelnym nonce omijającym uwierzytelnianie umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych, co prowadzi do zdalnego wykonania kodu.
Ocena ryzyka
Nieuwierzytelniony atakujący może przesłać i wykonać dowolny kod na serwerze WordPress, co prowadzi do pełnego przejęcia witryny. Wymaga to uzyskania nonce REST wtyczki, który jest automatycznie zapisywany w publicznie czytelnym pliku.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę 10Web Booster do wersji nowszej niż 2.34.10 lub ją wyłączyć, jeśli aktualizacja nie jest dostępna. Zaleca się również sprawdzenie katalogu wp-content/uploads pod kątem nieautoryzowanych plików i ograniczenie publicznego dostępu do plików nonce.
Inne podatności w 10Web Booster
Zobacz wszystkie- CVE-2026-94121Wysokie
Wtyczka 10Web Booster – Website speed optimization, Cache & Page Speed optimizer w wersjach <= 2.33.6 jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection). Podatność może być wykorzystana przez użytkownika z uprawnieniami Contributora.
- CVE-2025-13377Krytyczne
Wtyczka 10Web Booster dla WordPressa jest podatna na arbitralne usuwanie folderów z powodu niewystarczającej walidacji ścieżek w funkcji get_cache_dir_for_page_from_url() we wszystkich wersjach do 2.32.7 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą usuwać dowolne foldery na serwerze, co może prowadzić do utraty danych lub warunków odmowy usługi.
- CVE-2026-107742Wysokie
Wtyczka 10Web Booster dla WordPressa jest podatna na trwały atak XSS przez parametr 'author' w wersjach do 2.34.8 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony.
Oryginalny opis (angielski, źródło NVD)
The 10Web Booster – Website speed optimization, Cache & Page Speed optimizer plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 2.34.10 via the compressCustom function. This is due to missing file type validation and extension filtering on the page_id parameter, combined with a world-readable leaked nonce that bypasses authentication checks. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible. This exploit chain requires obtaining the plugin's REST nonce (tenwebio_rest), which is automatically serialized to a world-readable file under wp-content/uploads/ whenever a bulk optimisation batch pauses; because the nonce is generated in a cron/loopback context with a user ID of 0, it is valid for unauthenticated visitors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS