CVE-2026-2430: Luka XSS w wtyczce Autoptimize dla WordPress

Co wiadomo

Wtyczka Autoptimize dla WordPress do wersji 3.1.14 zawiera lukę typu Stored Cross-Site Scripting (XSS) w mechanizmie leniwego ładowania obrazów. Luka wynika z nieprawidłowego wyrażenia regularnego w funkcji add_lazyload, które pozwala na wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Autoptimize i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji leniwego ładowania obrazów. Regularne przeglądy bezpieczeństwa i szybkie reagowanie na incydenty są kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference