CVE-2026-16042
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka LWS Optimize do WordPressa przed wersją 3.4 nie przeprowadza kontroli uprawnień na swoich akcjach czyszczenia pamięci podręcznej. Każdy uwierzytelniony użytkownik, w tym Subskrybenci, może wyczyścić pamięć podręczną witryny i wymusić wielokrotne odbudowywanie cache.
Ocena ryzyka
Organizacja może doświadczyć znacznego spowolnienia witryny z powodu ciągłego odbudowywania cache przez nieuprawnionych użytkowników, co może prowadzić do przeciążenia serwera.
Rekomendacja
Należy zaktualizować wtyczkę LWS Optimize do wersji 3.4 lub nowszej.
Inne podatności w LWS Optimize
Zobacz wszystkie- CVE-2026-16032Średnie
Wtyczka LWS Optimize dla WordPressa przed wersją 4.1.2 nieprawidłowo escapuje wartość przesłaną przez nieuwierzytelniony punkt końcowy analityki przed jej zapisaniem i wyświetleniem w panelu administracyjnym. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy administrator przegląda dotkniętą stronę panelu.
- CVE-2026-12089Średnie
Wtyczka LWS Optimize dla WordPress do wersji 3.3.19 włącznie jest podatna na dowolny odczyt plików. Funkcja combine_current_css() ufa wartościom href z tagów <link> w HTML strony i konwertuje URL-e tej samej domeny na bezwzględne ścieżki systemowe, a następnie odczytuje je bez sprawdzania, czy ścieżka pozostaje w obrębie ABSPATH lub ma rozszerzenie .css. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Edytora i wyższym odczyt dowolnych plików.
Oryginalny opis (angielski, źródło NVD)
The LWS Optimize WordPress plugin before 3.4 does not perform a capability check on its cache-clearing actions, allowing any authenticated user, including Subscribers, to flush the site's caches and force repeated cache rebuilds.