CVE-2026-111738

ŚrednieCVSS 5.5

Opublikowano: 23/10/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Speed Optimizer przed wersją 7.8.5 nie weryfikuje uprawnień na poziomie sieci przed zastosowaniem zmiany opcji do całej sieci multisite ani nie ogranicza, które opcje mogą być zmieniane. Pozwala to administratorowi witryny, który nie jest Super Adminem, tworzyć lub nadpisywać opcje obejmujące całą sieć.

Ocena ryzyka

Administrator pojedynczej witryny może modyfikować konfigurację całej sieci multisite, co może wpłynąć na wszystkie podstrony i osłabić kontrolę administracyjną. Stanowi to naruszenie izolacji uprawnień w multisite.

Rekomendacja

Zaktualizuj wtyczkę Speed Optimizer do wersji 7.8.5 lub nowszej. Sprawdź, czy opcje sieciowe nie zostały nieautoryzowanie zmienione.

Inne podatności w Speed Optimizer WordPress plugin

CVE-2026-111737Niskie
Wtyczka WordPress Speed Optimizer przed wersją 7.8.5 nie sanityzuje ani nie escapuje niektórych swoich ustawień przed wyświetleniem ich w sekcji head stron front-endowych. Pozwala to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na ataki Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone (np. w konfiguracji multisite).

Oryginalny opis (angielski, źródło NVD)

The Speed Optimizer WordPress plugin before 7.8.5 does not verify network-level privilege before applying an option change to the whole multisite network, nor restrict which option may be changed, allowing a site administrator who is not a Super Admin to create or overwrite network-wide options.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS