CVE-2026-5821: Luka wtyczki Image Optimizer dla WordPress umożliwiająca usuwanie dowolnych plików

Co wiadomo

Wtyczka Image Optimizer dla WordPress w wersjach do 1.7.4 włącznie posiada lukę pozwalającą na usunięcie dowolnych plików na serwerze. Problem wynika z braku odpowiedniej walidacji ścieżek plików kopii zapasowych, co umożliwia atakującemu z uprawnieniami autora wstrzyknięcie i usunięcie plików spoza katalogu upload.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą usunąć dowolne pliki w obrębie uprawnień serwera WWW, co może prowadzić do przerw w działaniu usług, utraty danych lub obniżenia poziomu bezpieczeństwa systemu. Zagrożenie jest istotne dla właścicieli stron WordPress korzystających z tej wtyczki, zwłaszcza w środowiskach współdzielonych lub o ograniczonym nadzorze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Image Optimizer i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi systemowe pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto także przeprowadzić audyt plików na serwerze i zabezpieczyć katalogi przed nieautoryzowanym dostępem.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference