CVE-2026-16032
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka LWS Optimize dla WordPressa przed wersją 4.1.2 nieprawidłowo escapuje wartość przesłaną przez nieuwierzytelniony punkt końcowy analityki przed jej zapisaniem i wyświetleniem w panelu administracyjnym. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy administrator przegląda dotkniętą stronę panelu.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych skryptów w kontekście sesji administratora, co może prowadzić do kradzieży danych, przejęcia konta lub dalszej kompromitacji witryny.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki LWS Optimize do wersji 4.1.2 lub nowszej, która zawiera poprawkę zabezpieczającą przed tym atakiem.
Oryginalny opis (angielski, źródło NVD)
The LWS Optimize WordPress plugin before 4.1.2 does not properly escape a value submitted through an unauthenticated analytics endpoint before storing it and rendering it in an administrative dashboard, allowing unauthenticated attackers to inject arbitrary web scripts that execute when an administrator views the affected dashboard page.