CVE-2026-17608
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka WP Compress – Instant Performance & Speed Optimization dla WordPressa do wersji 7.10.09 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce. Nieuwierzytelnieni atakujący mogą nakłonić administratora do wykonania akcji, która usuwa dowolne opcje WordPressa, w tym krytyczne, takie jak siteurl, home, active_plugins, template i stylesheet, co może spowodować awarię strony lub pełny reset wtyczek i motywów.
Ocena ryzyka
Atakujący może doprowadzić do całkowitej awarii strony lub utraty konfiguracji, co może wymagać kosztownej odbudowy i narazić organizację na przestoje.
Rekomendacja
Zaktualizuj wtyczkę WP Compress do najnowszej wersji, jeśli dostępna jest poprawka. Dodatkowo edukuj administratorów o zagrożeniach CSRF i rozważ wdrożenie dodatkowych zabezpieczeń, takich jak sameSite cookies.
Oryginalny opis (angielski, źródło NVD)
The WP Compress – Instant Performance & Speed Optimization plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 7.10.09. This is due to missing or incorrect nonce validation on the (top-level template code) function. This makes it possible for unauthenticated attackers to delete arbitrary WordPress options, including critical ones such as siteurl, home, active_plugins, template, and stylesheet, causing site outage or a full plugin and theme reset via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.