CVE-2026-111737

NiskieCVSS 3.5

Opublikowano: 23/10/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Speed Optimizer przed wersją 7.8.5 nie sanityzuje ani nie escapuje niektórych swoich ustawień przed wyświetleniem ich w sekcji head stron front-endowych. Pozwala to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na ataki Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone (np. w konfiguracji multisite).

Ocena ryzyka

Uprzywilejowany użytkownik może wstrzyknąć trwały skrypt wykonujący się u wszystkich odwiedzających strony. Może to prowadzić do przejęcia sesji administratorów i innych użytkowników.

Rekomendacja

Zaktualizuj wtyczkę Speed Optimizer do wersji 7.8.5 lub nowszej. Przejrzyj ustawienia wtyczki pod kątem nieoczekiwanych wartości.

Inne podatności w Speed Optimizer WordPress plugin

CVE-2026-111738Średnie
Wtyczka WordPress Speed Optimizer przed wersją 7.8.5 nie weryfikuje uprawnień na poziomie sieci przed zastosowaniem zmiany opcji do całej sieci multisite ani nie ogranicza, które opcje mogą być zmieniane. Pozwala to administratorowi witryny, który nie jest Super Adminem, tworzyć lub nadpisywać opcje obejmujące całą sieć.

Oryginalny opis (angielski, źródło NVD)

The Speed Optimizer WordPress plugin before 7.8.5 does not sanitise or escape some of its settings before outputting them in the head of front-end pages, which could allow high-privilege users such as admins to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in a multisite setup).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS