CVE-2026-15345
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka ShortPixel Adaptive Images dla WordPressa do wersji 3.11.5 włącznie jest podatna na obejście autoryzacji. Brak właściwego weryfikowania uprawnień umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację opcji konfiguracyjnych innych wtyczek, takich jak ShortPixel Image Optimizer, Autoptimize, WP Rocket, Imagify i LiteSpeed Cache, a także klucza API i powiązania konta samej wtyczki.
Ocena ryzyka
Atakujący może zmienić konfigurację innych wtyczek, co może prowadzić do naruszenia bezpieczeństwa, wyłączenia zabezpieczeń lub przejęcia konta API, a w konsekwencji do kompromitacji całej witryny.
Rekomendacja
Zaktualizuj wtyczkę ShortPixel Adaptive Images do najnowszej wersji. Ogranicz dostęp do panelu administracyjnego i rozważ usunięcie nieużywanych wtyczek, które mogą być celem ataku.
Oryginalny opis (angielski, źródło NVD)
The ShortPixel Adaptive Images – WebP, AVIF, CDN, Image Optimization plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.11.5. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to modify configuration options of third-party plugins including ShortPixel Image Optimizer, Autoptimize, WP Rocket, Imagify, and LiteSpeed Cache, as well as the plugin's own API key and account binding. Exploitation requires the respective third-party plugins to be installed, as the impact against those plugins' settings is only reachable when those plugins are present.