CVE-2026-3191
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Minify HTML dla WordPressa we wszystkich wersjach do 2.1.12 włącznie jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji 'minify_html_menu_options'. Nieuwierzytelnieni atakujący mogą zaktualizować ustawienia wtyczki poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia w link.
Ocena ryzyka
Atakujący może zmienić konfigurację wtyczki, co może prowadzić do wyłączenia zabezpieczeń lub wstrzyknięcia złośliwego kodu, zagrażając bezpieczeństwu strony.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji oraz wdrożenie mechanizmów ochrony przed CSRF, takich jak tokeny nonce.
Oryginalny opis (angielski, źródło NVD)
The Minify HTML plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.1.12. This is due to missing or incorrect nonce validation on the 'minify_html_menu_options' function. This makes it possible for unauthenticated attackers to update plugin settings via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.