Analityczne wykorzystywanie plików cookies
CVE-2026-2352: Autoptimize WordPress Plugin podatny na Stored Cross-Site Scripting
Autoptimize do 3.1.14 ma lukę XSS umożliwiającą wstrzyknięcie skryptów przez użytkowników z uprawnieniami Contributor i wyżej.
- CVSS
- 6.4 MEDIUM
- EPSS
- 16.44%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Autoptimize dla WordPressa do wersji 3.1.14 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez wartość meta 'ao_post_preload'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu przy renderowaniu wartości w tagu <link>.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony, pod warunkiem włączenia opcji optymalizacji lub leniwego ładowania obrazów w konfiguracji wtyczki. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych ataków na użytkowników i administratorów witryny.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Autoptimize i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, wyłączyć funkcje optymalizacji obrazów wtyczki oraz monitorować logi pod kątem podejrzanej aktywności. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress.