CVE-2026-74932

WysokieCVSS 7.5

Opublikowano: 25/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 26/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka WP Fastest Cache dla WordPressa przed wersją 1.5.1 nie waliduje nagłówka Host przed użyciem go do budowy adresów URL plików zasobów osadzanych w buforowanych stronach i nie uwzględnia tego nagłówka w kluczu pamięci podręcznej. Umożliwia to nieuwierzytelnionym atakującym zatrucie buforowanych stron odniesieniami do kontrolowanego przez nich serwera i wykonanie dowolnego JavaScriptu dla każdego kolejnego odwiedzającego.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy skrypt na strony buforowane, co może prowadzić do kradzieży danych użytkowników, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki WP Fastest Cache do wersji 1.5.1 lub nowszej oraz wdrożenie walidacji nagłówka Host na serwerze.

Inne podatności w WP Fastest Cache

CVE-2026-19760Wysokie
Wtyczka WP Fastest Cache dla WordPressa jest podatna na przechowywany XSS przez nagłówek HTTP Host we wszystkich wersjach do 1.5.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty na strony, które wykonają się przy dostępie użytkownika. Wymaga to aktywnej wtyczki Polylang lub Polylang Pro oraz włączonej opcji Combine JS.

Oryginalny opis (angielski, źródło NVD)

The WP Fastest Cache WordPress plugin before 1.5.1 does not validate the Host header before using it to build the URLs of the asset files it embeds in the pages it caches, and does not include that header in the cache key, allowing unauthenticated attackers to poison cached pages with references to a server they control and have arbitrary JavaScript run for every subsequent visitor.