CVE-2026-78471
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Autoptimize dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez nazwę autora komentarza we wszystkich wersjach do 3.1.15.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga spełnienia dodatkowych warunków, takich jak włączenie opcji 'Lazy-load images?' przez administratora, obecność pliku w3-total-cache/w3-total-cache.php z wyłączoną wtyczką, załadowanie klasy Minify_HTML przez inną wtyczkę oraz zatwierdzenie złośliwego komentarza przez moderatora.
Ocena ryzyka
Atakujący może wykraść dane użytkowników, przejąć sesje lub zainfekować strony złośliwym kodem, co może prowadzić do naruszenia bezpieczeństwa i utraty zaufania.
Rekomendacja
Zaktualizuj wtyczkę Autoptimize do najnowszej wersji z poprawką. Dodatkowo rozważ wyłączenie opcji 'Lazy-load images?' jeśli nie jest konieczna, oraz regularnie moderuj komentarze.
Inne podatności w Autoptimize
Zobacz wszystkie- CVE-2026-14995Wysokie
Wtyczka Autoptimize dla WordPressa do wersji 3.1.15.1 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez ścieżkę REQUEST_URI. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wyjścia, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnych skryptów webowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Warunkiem wykorzystania jest aktywacja funkcji Critical CSS z poprawnie skonfigurowanym kluczem API.
- CVE-2025-13401Średnie
Wtyczka Autoptimize dla WordPress jest podatna na przechowywany cross-site scripting (XSS) poprzez metabox LCP Image to preload we wszystkich wersjach do 3.1.13 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych na atrybutach obrazu dostarczonych przez użytkownika w funkcji "create_img_preload_tag". Umożliwia to uwierzytelnionym atakującym z poziomem współpracownika i wyższym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Autoptimize plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Author Name in all versions up to, and including, 3.1.15.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires an administrator to have enabled Autoptimize's 'Lazy-load images?' option, the w3-total-cache/w3-total-cache.php file to be present on disk with the plugin disabled, a class named Minify_HTML to be loaded into scope by another plugin, and the malicious comment to be approved by a moderator before the payload renders.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS