CVE-2026-12089
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka LWS Optimize dla WordPress do wersji 3.3.19 włącznie jest podatna na dowolny odczyt plików. Funkcja combine_current_css() ufa wartościom href z tagów <link> w HTML strony i konwertuje URL-e tej samej domeny na bezwzględne ścieżki systemowe, a następnie odczytuje je bez sprawdzania, czy ścieżka pozostaje w obrębie ABSPATH lub ma rozszerzenie .css. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Edytora i wyższym odczyt dowolnych plików.
Ocena ryzyka
Ryzyko polega na możliwości odczytu wrażliwych plików systemowych przez atakującego z uprawnieniami redaktora, co może prowadzić do wycieku danych konfiguracyjnych lub innych poufnych informacji.
Rekomendacja
Zaleca się aktualizację wtyczki LWS Optimize do najnowszej dostępnej wersji, która usuwa podatność na dowolny odczyt plików.
Inne podatności w LWS Optimize
Zobacz wszystkie- CVE-2026-16032Średnie
Wtyczka LWS Optimize dla WordPressa przed wersją 4.1.2 nieprawidłowo escapuje wartość przesłaną przez nieuwierzytelniony punkt końcowy analityki przed jej zapisaniem i wyświetleniem w panelu administracyjnym. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy administrator przegląda dotkniętą stronę panelu.
- CVE-2026-16042Średnie
Wtyczka LWS Optimize do WordPressa przed wersją 3.4 nie przeprowadza kontroli uprawnień na swoich akcjach czyszczenia pamięci podręcznej. Każdy uwierzytelniony użytkownik, w tym Subskrybenci, może wyczyścić pamięć podręczną witryny i wymusić wielokrotne odbudowywanie cache.
Oryginalny opis (angielski, źródło NVD)
The LWS Optimize – All-in-One Speed Booster & Cache Tools plugin for WordPress is vulnerable to Arbitrary File Read in versions up to, and including, 3.3.19. This is due to the combine_current_css() function trusting <link rel="stylesheet" href="..."> values harvested from page HTML and converting same-site URLs to absolute filesystem paths before reading them with file_get_contents()/Minify\CSS::add(), without enforcing that the resolved path stay within ABSPATH or have a .css extension. This makes it possible for authenticated attackers, with Editor-level access and above, to read arbitrary files.