CVE-2026-97067

Wtyczka EWWW Image Optimizer dla WordPressa przed wersją 8.8.0 nie zapobiega przechowywaniu przez uwierzytelnionych użytkowników z uprawnieniami autora serializowanej wartości w polu meta wpisu, która jest deserializowana podczas renderowania wpisu. Umożliwia to przeprowadzenie ataku PHP Object Injection, co może prowadzić do zdalnego wykonania kodu, gdy dostępny jest odpowiedni łańcuch gadżetów.

Wtyczka EWWW Image Optimizer dla WordPressa jest podatna na Reflected Cross-Site Scripting przez klucz parametru REQUEST_URI w wersjach do 8.7.7 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Niezautentykowani atakujący mogą wstrzykiwać skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wymaga to aktywnej opcji enable_help.

Wtyczka EWWW Image Optimizer w wersji przed 8.7.7 nieprawidłowo escapuje wartości atrybutów obrazów podczas przepisywania wyjścia strony. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami na poziomie autora i wyższym wstrzyknięcie dowolnego kodu JavaScript, który jest przechowywany w opublikowanej treści i wykonuje się w przeglądarce każdego użytkownika później wyświetlającego zaatakowaną stronę.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce EWWW Image Optimizer w wersjach do 8.7.6. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Wtyczka EWWW Image Optimizer dla WordPressa do wersji 8.7.3 włącznie jest podatna na przechowywane Cross-Site Scripting (XSS) poprzez atrybut 'data-script' w treści posta. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.