CVE-2026-89193

WysokieCVSS 7.5

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka Robin Image Optimizer dla WordPressa przed wersją 2.0.8 nie escapuje wartości, które jej wbudowany parser HTML ponownie emituje do atrybutów elementów, gdy włączony jest niestandardowy tryb dostarczania obrazów. Umożliwia to nieuwierzytelnionym użytkownikom przesyłanie treści, które są przechowywane i wykonywane jako Cross-Site Scripting w przeglądarce każdego użytkownika odwiedzającego dotkniętą stronę, w tym administratorów.

Ocena ryzyka

Ataki XSS mogą prowadzić do przejęcia sesji administratora, kradzieży danych lub modyfikacji treści witryny.

Rekomendacja

Zaktualizuj wtyczkę Robin Image Optimizer do wersji 2.0.8 lub nowszej, aby zapobiec wstrzykiwaniu skryptów.

Inne podatności w Robin Image Optimizer

CVE-2026-89190Średnie
Wtyczka Robin Image Optimizer dla WordPressa przed wersją 2.0.8 nie sprawdza uprawnień użytkownika przed wywołaniem jednego z modułów obsługi żądań wbudowanego frameworka administracyjnego. Pozwala to użytkownikom z kontem na poziomie subskrybenta na renderowanie stron administracyjnych wtyczki i ujawnienie jej zapisanych ustawień.

Oryginalny opis (angielski, źródło NVD)

The Robin Image Optimizer WordPress plugin before 2.0.8 does not escape values that its bundled HTML parser re-emits into element attributes when a non-default image delivery mode is enabled, allowing unauthenticated users to submit content that is stored and later executed as Cross-Site Scripting in the browser of any user viewing an affected page, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS