CVE-2026-94121
WysokieCVSS 8.8Streszczenie
Wtyczka 10Web Booster – Website speed optimization, Cache & Page Speed optimizer w wersjach <= 2.33.6 jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection). Podatność może być wykorzystana przez użytkownika z uprawnieniami Contributora.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami (Contributor) może wykorzystać podatność do wstrzyknięcia złośliwego obiektu PHP, co może prowadzić do zdalnego wykonania kodu lub przejęcia kontroli nad witryną WordPress.
Rekomendacja
Zaktualizuj wtyczkę 10Web Booster do wersji nowszej niż 2.33.6. Jeśli aktualizacja nie jest możliwa, rozważ tymczasowe wyłączenie wtyczki.
Inne podatności w 10Web Booster
Zobacz wszystkie- CVE-2026-107742Wysokie
Wtyczka 10Web Booster dla WordPressa jest podatna na trwały atak XSS przez parametr 'author' w wersjach do 2.34.8 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony.
- CVE-2025-13377Krytyczne
Wtyczka 10Web Booster dla WordPressa jest podatna na arbitralne usuwanie folderów z powodu niewystarczającej walidacji ścieżek w funkcji get_cache_dir_for_page_from_url() we wszystkich wersjach do 2.32.7 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą usuwać dowolne foldery na serwerze, co może prowadzić do utraty danych lub warunków odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
Contributor PHP Object Injection in 10Web Booster – Website speed optimization, Cache & Page Speed optimizer <= 2.33.6 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS