CVE-2026-11784: Optymole dla WordPress podatny na atak CSRF umożliwiający nadpisanie załączników

Co wiadomo

Wtyczka Optimole dla WordPress do optymalizacji obrazów jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 4.2.6 włącznie. Luka pozwala atakującemu na nadpisanie istniejących załączników multimedialnych poprzez spreparowane żądanie POST, jeśli ofiara ma uprawnienia co najmniej autora i zostanie nakłoniona do kliknięcia w złośliwy link.

Wpływ biznesowy

Atakujący mogą wykorzystać lukę do podmiany plików multimedialnych na stronie, co może prowadzić do publikacji nieautoryzowanych treści lub złośliwego oprogramowania. Zagrożenie dotyczy użytkowników z uprawnieniami edycji postów (autor i wyżej), co może wpłynąć na integralność i reputację serwisu. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko manipulacji zawartością mediów i możliwe konsekwencje dla bezpieczeństwa strony.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Optimole i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanych żądań POST. Warto także edukować użytkowników o ryzyku kliknięcia w nieznane linki i rozważyć dodatkowe zabezpieczenia CSRF na poziomie serwisu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference