Podatności Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization

Wtyczka Optimole dla WordPress (do wersji 4.2.18) jest podatna na przechowywany XSS poprzez parametr `missing_srcsets[*][*].s` z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymagana sygnatura HMAC do autoryzacji punktu końcowego REST jest publikowana w postaci jawnej w obiekcie JavaScript `optimoleDataOptimizer` na stronach z niekompletnym profilem, co znosi barierę uwierzytelniania.

Wtyczka Optimole dla WordPress (do wersji 4.2.18) jest podatna na przechowywany XSS poprzez parametr `comment` z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga zatwierdzenia komentarza przez administratora oraz obecności co najmniej jednego elementu iframe lub video (np. bloku Video) w poście, co jest wystarczające przy domyślnych ustawieniach wtyczki z włączonym leniwym ładowaniem wideo.

Wtyczka Optimole do WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 4.2.6. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji replace_file, co pozwala na nadpisanie istniejących załączników medialnych przez nieautoryzowanych atakujących.