CVE-2026-77365
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'a' (above_fold_images) we wszystkich wersjach do 4.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzykiwanie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Optimole do wersji nowszej niż 4.2.10, która zawiera poprawki bezpieczeństwa, i regularnie aktualizuj wszystkie wtyczki WordPress.
Inne podatności w Optimole
Zobacz wszystkie- CVE-2026-96530Średnie
Wtyczka Optimole przed wersją 4.2.15 nie przeprowadza odpowiedniej kontroli uprawnień przed ujawnieniem przechowywanych danych konta usługi optymalizacji obrazów w widżecie pulpitu. Pozwala to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, na odczyt poświadczeń usług zewnętrznych.
- CVE-2026-102375Średnie
Wtyczka Optimole do WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.2.14 włącznie.
- CVE-2026-96531Średnie
Wtyczka Optimole do WordPressa przed wersją 4.2.13 nie escapuje nierozpoznanych atrybutów bloku odtwarzacza wideo przed wyrenderowaniem ich na elemencie opakowującym. Użytkownicy z rolą Autora i wyższą mogą przechowywać atrybuty obsługi zdarzeń, które wykonują skrypty w przeglądarce każdego użytkownika, np. administratora, który przegląda post.
- CVE-2026-84829Wysokie
Wtyczka Optimole dla WordPressa przed wersją 4.2.12 nieprawidłowo escapuje wartość dostarczoną przez użytkownika przed użyciem jej do zbudowania atrybutu tagu obrazu. Umożliwia to niezalogowanym użytkownikom wstrzyknięcie dowolnych atrybutów do stron serwowanych każdemu odwiedzającemu, co prowadzi do Stored Cross-Site Scripting.
- CVE-2026-57673Wysokie
Wtyczka Optimole w wersji 4.2.7 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.
- CVE-2025-11519Średnie
Wtyczka Optimole dla WordPressa do wersji 4.1.0 włącznie jest podatna na Insecure Direct Object Reference (IDOR) w punkcie końcowym REST API /wp-json/optml/v1/move_image z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym przenoszenie multimediów, które nie należą do nich.
Oryginalny opis (angielski, źródło NVD)
The Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'a' (above_fold_images) parameter in all versions up to, and including, 4.2.10 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS