CVE-2026-1298: Luka w wtyczce Easy Replace Image dla WordPress umożliwia nieautoryzowaną zamianę obrazów

Co wiadomo

Wtyczka Easy Replace Image dla WordPress do wersji 3.5.2 ma lukę polegającą na braku odpowiednich uprawnień w funkcji image_replacement_from_url, co pozwala użytkownikom z uprawnieniami co najmniej Contributor na podmianę obrazów na stronie na obrazy z zewnętrznych URL-i. Może to prowadzić do deface'u strony, ataków phishingowych lub manipulacji treścią.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą zmieniać obrazy na stronie, co zagraża integralności i wiarygodności witryny. Może to skutkować utratą zaufania użytkowników, obniżeniem reputacji firmy oraz potencjalnymi stratami finansowymi związanymi z koniecznością reagowania na incydenty i przywracania strony.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy Replace Image i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Contributor i wyższego oraz monitorować logi serwera pod kątem podejrzanych działań związanych z zamianą obrazów. Warto również rozważyć tymczasowe wyłączenie funkcji AJAX związanej z image_replacement_from_url, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference