CVE-2026-96531
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Optimole do WordPressa przed wersją 4.2.13 nie escapuje nierozpoznanych atrybutów bloku odtwarzacza wideo przed wyrenderowaniem ich na elemencie opakowującym. Użytkownicy z rolą Autora i wyższą mogą przechowywać atrybuty obsługi zdarzeń, które wykonują skrypty w przeglądarce każdego użytkownika, np. administratora, który przegląda post.
Ocena ryzyka
Atakujący z rolą Autora może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce administratora, co może prowadzić do przejęcia konta administratora lub wykonania nieautoryzowanych działań.
Rekomendacja
Zaktualizuj wtyczkę do wersji 4.2.13 lub nowszej. Dodatkowo ogranicz role użytkowników i wdróż politykę Content Security Policy (CSP).
Inne podatności w Optimole
Zobacz wszystkie- CVE-2026-96530Średnie
Wtyczka Optimole przed wersją 4.2.15 nie przeprowadza odpowiedniej kontroli uprawnień przed ujawnieniem przechowywanych danych konta usługi optymalizacji obrazów w widżecie pulpitu. Pozwala to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, na odczyt poświadczeń usług zewnętrznych.
- CVE-2026-102375Średnie
Wtyczka Optimole do WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.2.14 włącznie.
- CVE-2026-84829Wysokie
Wtyczka Optimole dla WordPressa przed wersją 4.2.12 nieprawidłowo escapuje wartość dostarczoną przez użytkownika przed użyciem jej do zbudowania atrybutu tagu obrazu. Umożliwia to niezalogowanym użytkownikom wstrzyknięcie dowolnych atrybutów do stron serwowanych każdemu odwiedzającemu, co prowadzi do Stored Cross-Site Scripting.
- CVE-2026-77365Wysokie
Wtyczka Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'a' (above_fold_images) we wszystkich wersjach do 4.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzykiwanie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-57673Wysokie
Wtyczka Optimole w wersji 4.2.7 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.
- CVE-2025-11519Średnie
Wtyczka Optimole dla WordPressa do wersji 4.1.0 włącznie jest podatna na Insecure Direct Object Reference (IDOR) w punkcie końcowym REST API /wp-json/optml/v1/move_image z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym przenoszenie multimediów, które nie należą do nich.
Oryginalny opis (angielski, źródło NVD)
The Optimole WordPress plugin before 4.2.13 does not escape unrecognized attributes of its video-player block before rendering them onto the block's wrapper element, allowing users with the Author role and above to store an event-handler attribute that executes scripts in the browser of any user, such as an administrator, who views the post.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS