CVE-2026-14995
WysokieCVSS 7.2Streszczenie
Wtyczka Autoptimize dla WordPressa do wersji 3.1.15.1 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez ścieżkę REQUEST_URI. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wyjścia, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnych skryptów webowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Warunkiem wykorzystania jest aktywacja funkcji Critical CSS z poprawnie skonfigurowanym kluczem API.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji, przejęcia konta administratora lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki Autoptimize do najnowszej wersji, która zawiera poprawkę. Należy również upewnić się, że funkcja Critical CSS jest skonfigurowana bezpiecznie i nie jest dostępna dla nieuwierzytelnionych żądań.
Inne podatności w Autoptimize
Zobacz wszystkie- CVE-2026-78471Średnie
Wtyczka Autoptimize dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez nazwę autora komentarza we wszystkich wersjach do 3.1.15.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga spełnienia dodatkowych warunków, takich jak włączenie opcji 'Lazy-load images?' przez administratora, obecność pliku w3-total-cache/w3-total-cache.php z wyłączoną wtyczką, załadowanie klasy Minify_HTML przez inną wtyczkę oraz zatwierdzenie złośliwego komentarza przez moderatora.
- CVE-2025-13401Średnie
Wtyczka Autoptimize dla WordPress jest podatna na przechowywany cross-site scripting (XSS) poprzez metabox LCP Image to preload we wszystkich wersjach do 3.1.13 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych na atrybutach obrazu dostarczonych przez użytkownika w funkcji "create_img_preload_tag". Umożliwia to uwierzytelnionym atakującym z poziomem współpracownika i wyższym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Autoptimize plugin for WordPress is vulnerable to Stored Cross-Site Scripting via REQUEST_URI Path in all versions up to, and including, 3.1.15.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the Critical CSS feature to be active with a valid API key configured, as this is the precondition for unauthenticated frontend requests to trigger queue entries via ao_ccss_enqueue().
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS