CVE-2026-91049

ŚrednieCVSS 6.4

Opublikowano: 05/11/2026(UTC)Zaktualizowano: 06/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress EWWW Image Optimizer przed wersją 8.9.1 nie sanityzuje i nie ogranicza wartości w treści posta przed dynamicznym ładowaniem i wykonywaniem skryptu na stronie. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się w sesji każdego użytkownika przeglądającego stronę, w tym administratora. Poprawka jest niekompletna względem CVE-2026-15446 — ograniczenia origin i ścieżki dodane od 8.7.4 były obejściowe, więc wersje 8.7.4–8.9.0 pozostają podatne.

Ocena ryzyka

Wstrzyknięty skrypt może wykonać się w sesji administratora, umożliwiając przejęcie witryny, kradzież danych lub utworzenie kont backdoor.

Rekomendacja

Zaktualizuj wtyczkę EWWW Image Optimizer do wersji 8.9.1 lub nowszej. Przejrzyj treści postów autorów pod kątem podejrzanych skryptów.

Inne podatności w EWWW Image Optimizer WordPress plugin

CVE-2026-91072Średnie
Wtyczka EWWW Image Optimizer dla WordPressa przed wersją 8.8.0 nie ogranicza procedury migracji plików pochodnych WebP do bieżącego katalogu uploads witryny, co pozwala atakującemu z uprawnieniami administratora na zmianę nazwy lub usunięcie istniejących plików obrazów pochodnych WebP poza tym zakresem, w tym w sieci multisite, plików należących do innej witryny, do której nie ma dostępu.

Oryginalny opis (angielski, źródło NVD)

The EWWW Image Optimizer WordPress plugin before 8.9.1 does not properly sanitize and restrict a value in post content before using it to dynamically load and execute a script in the page, allowing authenticated attackers with author-level access and above to inject arbitrary web scripts that run in the session of any user who views the affected page, including administrators. This is an incomplete fix of CVE-2026-15446: the origin and path restrictions added from 8.7.4 onward were each bypassable, so versions 8.7.4 through 8.9.0 remain affected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS