CVE-2026-89190

ŚrednieCVSS 4.3

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka Robin Image Optimizer dla WordPressa przed wersją 2.0.8 nie sprawdza uprawnień użytkownika przed wywołaniem jednego z modułów obsługi żądań wbudowanego frameworka administracyjnego. Pozwala to użytkownikom z kontem na poziomie subskrybenta na renderowanie stron administracyjnych wtyczki i ujawnienie jej zapisanych ustawień.

Ocena ryzyka

Ujawnienie poufnych ustawień wtyczki nieuprawnionym użytkownikom, co może prowadzić do nieautoryzowanych zmian lub dalszych ataków.

Rekomendacja

Zaktualizuj wtyczkę Robin Image Optimizer do wersji 2.0.8 lub nowszej, aby wymusić odpowiednie sprawdzanie uprawnień.

Inne podatności w Robin Image Optimizer

CVE-2026-89193Wysokie
Wtyczka Robin Image Optimizer dla WordPressa przed wersją 2.0.8 nie escapuje wartości, które jej wbudowany parser HTML ponownie emituje do atrybutów elementów, gdy włączony jest niestandardowy tryb dostarczania obrazów. Umożliwia to nieuwierzytelnionym użytkownikom przesyłanie treści, które są przechowywane i wykonywane jako Cross-Site Scripting w przeglądarce każdego użytkownika odwiedzającego dotkniętą stronę, w tym administratorów.

Oryginalny opis (angielski, źródło NVD)

The Robin Image Optimizer WordPress plugin before 2.0.8 does not check the user's capabilities before dispatching one of its bundled admin framework's request handlers, allowing users with a subscriber-level account to render admin-only Robin Image Optimizer WordPress plugin before 2.0.8 pages and disclose the Robin Image Optimizer WordPress plugin before 2.0.8's stored settings.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS