CVE-2026-91072

ŚrednieCVSS 4.4

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka EWWW Image Optimizer dla WordPressa przed wersją 8.8.0 nie ogranicza procedury migracji plików pochodnych WebP do bieżącego katalogu uploads witryny, co pozwala atakującemu z uprawnieniami administratora na zmianę nazwy lub usunięcie istniejących plików obrazów pochodnych WebP poza tym zakresem, w tym w sieci multisite, plików należących do innej witryny, do której nie ma dostępu.

Ocena ryzyka

Administratorzy (lub atakujący z przejętymi kontami administratorów) mogą uszkodzić lub usunąć pliki innych witryn w multisite, co prowadzi do utraty danych i zakłócenia działania.

Rekomendacja

Zaleca się aktualizację wtyczki EWWW Image Optimizer do wersji 8.8.0 lub nowszej oraz ograniczenie operacji migracji do katalogu uploads bieżącej witryny.

Inne podatności w EWWW Image Optimizer WordPress plugin

CVE-2026-91049Średnie
Wtyczka WordPress EWWW Image Optimizer przed wersją 8.9.1 nie sanityzuje i nie ogranicza wartości w treści posta przed dynamicznym ładowaniem i wykonywaniem skryptu na stronie. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się w sesji każdego użytkownika przeglądającego stronę, w tym administratora. Poprawka jest niekompletna względem CVE-2026-15446 — ograniczenia origin i ścieżki dodane od 8.7.4 były obejściowe, więc wersje 8.7.4–8.9.0 pozostają podatne.

Oryginalny opis (angielski, źródło NVD)

The EWWW Image Optimizer WordPress plugin before 8.8.0 does not confine a WebP-derivative file migration routine to the current site's own uploads directory, letting an attacker with Administrator-level access rename or delete existing WebP-derivative image files outside that scope, including, on a multisite network, files belonging to a different site they have no access to.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS