CVE-2026-120551 in WP Compress Plugin
Resumen
por VulDB • 2026-11-03
El plugin WP Compress – Instant Performance & Speed Optimization para WordPress es vulnerable a una omisión de la autorización en todas las versiones hasta e incluyendo la 7.22.01. Esto se debe a que el plugin no verifica adecuadamente si un usuario está autorizado para realizar una acción. Esto permite que atacantes no autenticados vinculen el sitio víctima con una cuenta WP Compress controlada por el atacante, sobrescriban los ajustes del plugin con una configuración preestablecida agresiva de live-CDN y obtengan la api_key compartida que autentica todos los endpoints protegidos mediante HMAC para usuarios sin privilegios (nopriv), lo que habilita un control total sobre la purga de caché, la eliminación de archivos, la invalidación del opcode cache y otras operaciones privilegiadas del plugin. Esta vulnerabilidad solo afecta a instalaciones nuevas o a las instalaciones en modo lite/gratuito donde no haya una api_key almacenada previamente, ya que el único mecanismo de protección falla abriendo el acceso cuando falta la clave almacenada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.