CVE-2026-73343

Nieuwierzytelniona zmiana ustawień w WP Compress w wersjach do 7.21.28. Atakujący może zmienić konfigurację wtyczki bez logowania.

Wtyczka WP Compress – Instant Performance & Speed Optimization dla WordPressa do wersji 7.10.09 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce. Nieuwierzytelnieni atakujący mogą nakłonić administratora do wykonania akcji, która usuwa dowolne opcje WordPressa, w tym krytyczne, takie jak siteurl, home, active_plugins, template i stylesheet, co może spowodować awarię strony lub pełny reset wtyczek i motywów.

Wtyczka WP Compress dla WordPress przed wersją 7.10.04 nie waliduje wartości parametru zapytania kontrolującego host CDN assetów przed użyciem go do budowania URL-i plików JavaScript, co prowadzi do Reflected XSS. Gdy odwiedzający kliknie spreparowany link, loader wtyczki wstrzykuje elementy skryptu wskazujące na kontrolowane przez atakującego źródło, umożliwiając wykonanie dowolnego JavaScript w sesji ofiary na docelowej stronie.

Wtyczka WP Compress (wp-compress-image-optimizer) dla WordPressa ma brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Podatność dotyczy wersji do 6.50.54 włącznie.