CVE-2026-84934

WysokieCVSS 8.0

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka JCH Optimize dla WordPressa przed wersją 6.0.1 nie wykonuje kontroli uprawnień na jednej z uwierzytelnionych akcji AJAX i pozwala żądaniu wybrać, która wewnętrzna akcja zostanie uruchomiona. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybenci, importowanie dowolnych ustawień wtyczki JCH Optimize przed wersją 6.0.1 i przechowywanie skryptu, który wykonuje się w przeglądarce każdego odwiedzającego lub administratora przeglądającego witrynę.

Ocena ryzyka

Ryzyko obejmuje przejęcie kontroli nad konfiguracją wtyczki, wstrzyknięcie złośliwego skryptu, co może prowadzić do kradzieży danych i kompromitacji administratorów.

Rekomendacja

Zaktualizuj wtyczkę do wersji 6.0.1 lub nowszej. Ogranicz uprawnienia użytkowników i monitoruj aktywność AJAX.

Inne podatności w JCH Optimize

CVE-2025-15693Niskie
Wtyczka JCH Optimize dla WordPressa przed wersją 5.0.1 nie odpowiednio ogranicza ścieżki katalogu podanej do jednej z administracyjnych funkcji przeglądania obrazów do wnętrza witryny. Umożliwia to użytkownikom z wysokimi uprawnieniami, administratorom w pojedynczej witrynie i administratorom podwitryn w multisite, wyliczanie katalogów i nazw plików poza katalogiem głównym witryny.

Oryginalny opis (angielski, źródło NVD)

The JCH Optimize WordPress plugin before 6.0.1 does not perform a capability check on one of its authenticated AJAX actions and lets the request choose which internal action runs, allowing any authenticated users such as Subscribers to import arbitrary JCH Optimize WordPress plugin before 6.0.1 settings and store a script that executes in the browser of any visitor or administrator viewing the site.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS