CVE-2026-7311
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 — wyżej niż 47% wszystkich znanych CVE
Streszczenie
Wtyczka TinyPNG do WordPressa (wersje do 3.6.13) zawiera podatność na usuwanie dowolnych plików przez uwierzytelnionego atakującego z dostępem autora lub wyższym. Problem wynika z niewystarczającej walidacji ścieżki pliku w funkcji delete_converted_image_size.
Ocena ryzyka
Atakujący może usunąć krytyczne pliki serwera, takie jak wp-config.php, co może prowadzić do zdalnego wykonania kodu i całkowitego przejęcia kontroli nad witryną WordPress.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę TinyPNG do najnowszej dostępnej wersji, która zawiera poprawkę tej luki. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę.
Oryginalny opis (angielski, źródło NVD)
The TinyPNG – JPEG, PNG & WebP image compression plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the delete_converted_image_size function in all versions up to, and including, 3.6.13. This makes it possible for authenticated attackers, with author-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). An attacker can exploit this by injecting an arbitrary server file path into the 'convert.path' field of the 'tiny_compress_images' post meta on an attachment they own, then triggering attachment deletion to invoke the vulnerable code path.