CVE-2026-120551 in WP Compress Plugin
Zusammenfassung
von VulDB • 03.11.2026
Das WordPress-Plugin WP Compress – Instant Performance & Speed Optimization ist in allen Versionen bis einschließlich 7.22.01 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin die Berechtigung eines Benutzers zur Ausführung einer Aktion nicht ordnungsgemäß überprüft. Dadurch können unberechtigte Angreifer die Zielwebsite mit einem von den Angreifern kontrollierten WP Compress-Konto verknüpfen, die Plugin-Einstellungen auf ein aggressives Live-CDN-Voreingestelltprofil überschreiben und den gemeinsamen api_key erlangen, der alle nopriv HMAC-geschützten Endpunkte authentifiziert. Dies ermöglicht volle Kontrolle über das Leeren des Caches (Cache Purging), das Löschen von Dateien, die Ungültigmachung des Opcode-Cache sowie andere privilegierte Plugin-Operationen. Diese Schwachstelle betrifft nur frische Installationen oder Lite-/Free-Mode-Installationen, bei denen noch kein api_key gespeichert ist, da der einzige Schutzmechanismus fehlschlägt (fails open), wenn der gespeicherte Schlüssel fehlt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.