CVE-2026-96530

Wtyczka Optimole do WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.2.14 włącznie.

Wtyczka Optimole do WordPressa przed wersją 4.2.13 nie escapuje nierozpoznanych atrybutów bloku odtwarzacza wideo przed wyrenderowaniem ich na elemencie opakowującym. Użytkownicy z rolą Autora i wyższą mogą przechowywać atrybuty obsługi zdarzeń, które wykonują skrypty w przeglądarce każdego użytkownika, np. administratora, który przegląda post.

Wtyczka Optimole dla WordPressa przed wersją 4.2.12 nieprawidłowo escapuje wartość dostarczoną przez użytkownika przed użyciem jej do zbudowania atrybutu tagu obrazu. Umożliwia to niezalogowanym użytkownikom wstrzyknięcie dowolnych atrybutów do stron serwowanych każdemu odwiedzającemu, co prowadzi do Stored Cross-Site Scripting.

Wtyczka Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'a' (above_fold_images) we wszystkich wersjach do 4.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzykiwanie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Optimole w wersji 4.2.7 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.

Wtyczka Optimole dla WordPressa do wersji 4.1.0 włącznie jest podatna na Insecure Direct Object Reference (IDOR) w punkcie końcowym REST API /wp-json/optml/v1/move_image z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym przenoszenie multimediów, które nie należą do nich.