Podatności LWS Optimize
3 znanych podatności CVE w LWS Optimize, przetłumaczonych i ocenionych.
- CVE-2026-16032Średnie
Wtyczka LWS Optimize dla WordPressa przed wersją 4.1.2 nieprawidłowo escapuje wartość przesłaną przez nieuwierzytelniony punkt końcowy analityki przed jej zapisaniem i wyświetleniem w panelu administracyjnym. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy administrator przegląda dotkniętą stronę panelu.
- CVE-2026-16042Średnie
Wtyczka LWS Optimize do WordPressa przed wersją 3.4 nie przeprowadza kontroli uprawnień na swoich akcjach czyszczenia pamięci podręcznej. Każdy uwierzytelniony użytkownik, w tym Subskrybenci, może wyczyścić pamięć podręczną witryny i wymusić wielokrotne odbudowywanie cache.
- CVE-2026-12089Średnie
Wtyczka LWS Optimize dla WordPress do wersji 3.3.19 włącznie jest podatna na dowolny odczyt plików. Funkcja combine_current_css() ufa wartościom href z tagów <link> w HTML strony i konwertuje URL-e tej samej domeny na bezwzględne ścieżki systemowe, a następnie odczytuje je bez sprawdzania, czy ścieżka pozostaje w obrębie ABSPATH lub ma rozszerzenie .css. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Edytora i wyższym odczyt dowolnych plików.