CVE-2026-16032
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka LWS Optimize dla WordPressa przed wersją 4.1.2 nieprawidłowo escapuje wartość przesłaną przez nieuwierzytelniony punkt końcowy analityki przed jej zapisaniem i wyświetleniem w panelu administracyjnym. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy administrator przegląda dotkniętą stronę panelu.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych skryptów w kontekście sesji administratora, co może prowadzić do kradzieży danych, przejęcia konta lub dalszej kompromitacji witryny.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki LWS Optimize do wersji 4.1.2 lub nowszej, która zawiera poprawkę zabezpieczającą przed tym atakiem.
Inne podatności w LWS Optimize
Zobacz wszystkie- CVE-2026-16042Średnie
Wtyczka LWS Optimize do WordPressa przed wersją 3.4 nie przeprowadza kontroli uprawnień na swoich akcjach czyszczenia pamięci podręcznej. Każdy uwierzytelniony użytkownik, w tym Subskrybenci, może wyczyścić pamięć podręczną witryny i wymusić wielokrotne odbudowywanie cache.
- CVE-2026-12089Średnie
Wtyczka LWS Optimize dla WordPress do wersji 3.3.19 włącznie jest podatna na dowolny odczyt plików. Funkcja combine_current_css() ufa wartościom href z tagów <link> w HTML strony i konwertuje URL-e tej samej domeny na bezwzględne ścieżki systemowe, a następnie odczytuje je bez sprawdzania, czy ścieżka pozostaje w obrębie ABSPATH lub ma rozszerzenie .css. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Edytora i wyższym odczyt dowolnych plików.
Oryginalny opis (angielski, źródło NVD)
The LWS Optimize WordPress plugin before 4.1.2 does not properly escape a value submitted through an unauthenticated analytics endpoint before storing it and rendering it in an administrative dashboard, allowing unauthenticated attackers to inject arbitrary web scripts that execute when an administrator views the affected dashboard page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS