CVE-2026-91011
NieznaneStreszczenie
Wtyczka EWWW Image Optimizer w wersji przed 8.7.7 nieprawidłowo escapuje wartości atrybutów obrazów podczas przepisywania wyjścia strony. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami na poziomie autora i wyższym wstrzyknięcie dowolnego kodu JavaScript, który jest przechowywany w opublikowanej treści i wykonuje się w przeglądarce każdego użytkownika później wyświetlającego zaatakowaną stronę.
Ocena ryzyka
Atakujący z uprawnieniami autora może wstrzyknąć trwały złośliwy kod JavaScript, który wykonuje się u wszystkich odwiedzających, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków. Ryzyko dotyczy wszystkich użytkowników przeglądających zainfekowaną stronę.
Rekomendacja
Zaktualizuj wtyczkę EWWW Image Optimizer do wersji 8.7.7 lub nowszej. Przejrzyj opublikowane treści pod kątem wstrzykniętego złośliwego kodu.
Inne podatności w EWWW Image Optimizer
Zobacz wszystkie- CVE-2026-84773Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce EWWW Image Optimizer w wersjach do 8.7.6. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-15446Średnie
Wtyczka EWWW Image Optimizer dla WordPressa do wersji 8.7.3 włącznie jest podatna na przechowywane Cross-Site Scripting (XSS) poprzez atrybut 'data-script' w treści posta. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The EWWW Image Optimizer WordPress plugin before 8.7.7 does not properly escape image attribute values when it rewrites page output, allowing authenticated users with author-level access and above to inject arbitrary JavaScript that is stored in published content and executes in the browser of any user who later views the affected page.