CVE-2026-74916
ŚrednieCVSS 6.5Streszczenie
Wtyczka WP Fastest Cache dla WordPressa przed wersją 1.5.1 nie uwzględnia zestawu parametrów zapytań śledzących w kluczu pamięci podręcznej stron, jednocześnie buforując strony żądane z tymi parametrami. Umożliwia to nieuwierzytelnionym atakującym wyświetlenie strony w ich własnym kontekście żądania, zapisanej pod czystym URL-em i serwowanej każdemu kolejnemu odwiedzającemu.
Ocena ryzyka
Atakujący może spowodować, że strona z treścią specyficzną dla atakującego będzie serwowana innym użytkownikom, co może prowadzić do wycieku danych lub manipulacji treścią.
Rekomendacja
Zaleca się aktualizację wtyczki WP Fastest Cache do wersji 1.5.1 lub nowszej.
Inne podatności w WP Fastest Cache
Zobacz wszystkie- CVE-2026-19760Wysokie
Wtyczka WP Fastest Cache dla WordPressa jest podatna na przechowywany XSS przez nagłówek HTTP Host we wszystkich wersjach do 1.5.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty na strony, które wykonają się przy dostępie użytkownika. Wymaga to aktywnej wtyczki Polylang lub Polylang Pro oraz włączonej opcji Combine JS.
- CVE-2026-74932Wysokie
Wtyczka WP Fastest Cache dla WordPressa przed wersją 1.5.1 nie waliduje nagłówka Host przed użyciem go do budowy adresów URL plików zasobów osadzanych w buforowanych stronach i nie uwzględnia tego nagłówka w kluczu pamięci podręcznej. Umożliwia to nieuwierzytelnionym atakującym zatrucie buforowanych stron odniesieniami do kontrolowanego przez nich serwera i wykonanie dowolnego JavaScriptu dla każdego kolejnego odwiedzającego.
Oryginalny opis (angielski, źródło NVD)
The WP Fastest Cache WordPress plugin before 1.5.1 does not include a set of tracking-related query parameters in its page-cache key while still caching pages requested with them, allowing unauthenticated attackers to have a page rendered under their own request context stored under, and served from, the clean URL's cache entry to every subsequent visitor.