CVE-2026-91011
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka EWWW Image Optimizer w wersji przed 8.7.7 nieprawidłowo escapuje wartości atrybutów obrazów podczas przepisywania wyjścia strony. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami na poziomie autora i wyższym wstrzyknięcie dowolnego kodu JavaScript, który jest przechowywany w opublikowanej treści i wykonuje się w przeglądarce każdego użytkownika później wyświetlającego zaatakowaną stronę.
Ocena ryzyka
Atakujący z uprawnieniami autora może wstrzyknąć trwały złośliwy kod JavaScript, który wykonuje się u wszystkich odwiedzających, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków. Ryzyko dotyczy wszystkich użytkowników przeglądających zainfekowaną stronę.
Rekomendacja
Zaktualizuj wtyczkę EWWW Image Optimizer do wersji 8.7.7 lub nowszej. Przejrzyj opublikowane treści pod kątem wstrzykniętego złośliwego kodu.
Inne podatności w EWWW Image Optimizer
Zobacz wszystkie- CVE-2026-97067Średnie
Podatność Cross Site Scripting (XSS) w wtyczce EWWW Image Optimizer do wersji 8.7.7 włącznie. Użytkownik z rolą kontrybutora może wstrzykiwać złośliwe skrypty.
- CVE-2026-91051Średnie
Wtyczka EWWW Image Optimizer dla WordPressa przed wersją 8.8.0 nie zapobiega przechowywaniu przez uwierzytelnionych użytkowników z uprawnieniami autora serializowanej wartości w polu meta wpisu, która jest deserializowana podczas renderowania wpisu. Umożliwia to przeprowadzenie ataku PHP Object Injection, co może prowadzić do zdalnego wykonania kodu, gdy dostępny jest odpowiedni łańcuch gadżetów.
- CVE-2026-92826Średnie
Wtyczka EWWW Image Optimizer dla WordPressa jest podatna na Reflected Cross-Site Scripting przez klucz parametru REQUEST_URI w wersjach do 8.7.7 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Niezautentykowani atakujący mogą wstrzykiwać skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wymaga to aktywnej opcji enable_help.
- CVE-2026-84773Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce EWWW Image Optimizer w wersjach do 8.7.6. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-15446Średnie
Wtyczka EWWW Image Optimizer dla WordPressa do wersji 8.7.3 włącznie jest podatna na przechowywane Cross-Site Scripting (XSS) poprzez atrybut 'data-script' w treści posta. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The EWWW Image Optimizer WordPress plugin before 8.7.7 does not properly escape image attribute values when it rewrites page output, allowing authenticated users with author-level access and above to inject arbitrary JavaScript that is stored in published content and executes in the browser of any user who later views the affected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS