CVE-2026-4335: podatność Stored XSS w wtyczce ShortPixel Image Optimizer dla WordPress

Co wiadomo

Wtyczka ShortPixel Image Optimizer dla WordPress do wersji 6.4.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez pole post_title załącznika. Problem wynika z braku odpowiedniego zabezpieczenia danych w funkcji getEditorPopup() i szablonie media-popup.php, co pozwala na wstrzyknięcie złośliwego kodu JavaScript przez użytkowników z uprawnieniami autora i wyższymi.

Wpływ biznesowy

Atakujący z uprawnieniami autora mogą wstrzyknąć złośliwy skrypt, który zostanie wykonany, gdy administrator lub inny użytkownik o wyższych uprawnieniach otworzy edytor ShortPixel AI dla załącznika. Może to prowadzić do przejęcia sesji, eskalacji uprawnień lub innych działań szkodliwych dla bezpieczeństwa witryny i danych firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ShortPixel Image Optimizer i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji edytora AI, jeśli to możliwe. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference