CVE-2026-90953
ŚrednieCVSS 4.3Streszczenie
Wtyczka Image Optimizer dla WordPressa przed wersją 1.7.7 nie egzekwuje zamierzonej kontroli uprawnień na kilku swoich trasach REST do odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt metadanych załączników i statystyk całej witryny, które powinny być ograniczone do administratorów.
Ocena ryzyka
Ujawnienie poufnych informacji (metadane załączników, statystyki) nieuprawnionym użytkownikom, co może naruszyć prywatność i bezpieczeństwo witryny.
Rekomendacja
Zaktualizuj wtyczkę Image Optimizer do wersji 1.7.7 lub nowszej, aby przywrócić właściwą kontrolę dostępu.
Inne podatności w Image Optimizer
Zobacz wszystkie- CVE-2026-107704Krytyczne
Gem image_optimizer w wersjach 1.3.0 do 1.9.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w metodzie ImageOptimizer#identify_format. Atakujący kontrolujący ścieżkę do obrazu, np. nazwę przesłanego pliku, może dodać metaznaki powłoki, takie jak ';', które są wykonywane przez Ruby backticks z uprawnieniami procesu Ruby.
- CVE-2026-5821Wysokie
Wtyczka Image Optimizer dla WordPressa w wersjach do 1.7.4 zawiera podatność na usuwanie dowolnych plików. Wynika to z braku walidacji ścieżek w funkcji Image_Backup::remove(), gdzie ścieżki plików kopii zapasowych przechowywane w metadanych posta są używane bezpośrednio w operacjach usuwania bez sprawdzenia, czy znajdują się w katalogu uploads. Uwierzytelniony atakujący z dostępem na poziomie Autora może zmodyfikować pole meta image_optimizer_metadata we własnych załącznikach, wstrzykując dowolne ścieżki plików, które zostaną usunięte po skasowaniu załącznika.
Oryginalny opis (angielski, źródło NVD)
The Image Optimizer WordPress plugin before 1.7.7 does not enforce its intended capability check on several of its read REST routes, allowing any authenticated user to read attachment metadata and site-wide statistics that should be restricted to administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS