CVE-2026-17608
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka WP Compress – Instant Performance & Speed Optimization dla WordPressa do wersji 7.10.09 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce. Nieuwierzytelnieni atakujący mogą nakłonić administratora do wykonania akcji, która usuwa dowolne opcje WordPressa, w tym krytyczne, takie jak siteurl, home, active_plugins, template i stylesheet, co może spowodować awarię strony lub pełny reset wtyczek i motywów.
Ocena ryzyka
Atakujący może doprowadzić do całkowitej awarii strony lub utraty konfiguracji, co może wymagać kosztownej odbudowy i narazić organizację na przestoje.
Rekomendacja
Zaktualizuj wtyczkę WP Compress do najnowszej wersji, jeśli dostępna jest poprawka. Dodatkowo edukuj administratorów o zagrożeniach CSRF i rozważ wdrożenie dodatkowych zabezpieczeń, takich jak sameSite cookies.
Inne podatności w WP Compress
Zobacz wszystkie- CVE-2026-73343Krytyczne
Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod (RCE) w wtyczce WP Compress w wersjach starszych niż 7.20.01.
- CVE-2026-84757Wysokie
Nieuwierzytelniona zmiana ustawień w WP Compress w wersjach do 7.21.28. Atakujący może zmienić konfigurację wtyczki bez logowania.
- CVE-2026-9066Średnie
Wtyczka WP Compress dla WordPress przed wersją 7.10.04 nie waliduje wartości parametru zapytania kontrolującego host CDN assetów przed użyciem go do budowania URL-i plików JavaScript, co prowadzi do Reflected XSS. Gdy odwiedzający kliknie spreparowany link, loader wtyczki wstrzykuje elementy skryptu wskazujące na kontrolowane przez atakującego źródło, umożliwiając wykonanie dowolnego JavaScript w sesji ofiary na docelowej stronie.
- CVE-2025-57899Średnie
Wtyczka WP Compress (wp-compress-image-optimizer) dla WordPressa ma brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Podatność dotyczy wersji do 6.50.54 włącznie.
Oryginalny opis (angielski, źródło NVD)
The WP Compress – Instant Performance & Speed Optimization plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 7.10.09. This is due to missing or incorrect nonce validation on the (top-level template code) function. This makes it possible for unauthenticated attackers to delete arbitrary WordPress options, including critical ones such as siteurl, home, active_plugins, template, and stylesheet, causing site outage or a full plugin and theme reset via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS