CVE-2026-2430 in Autoptimize Plugin
Resumen
por MITRE • 2026-03-21
El plugin Autoptimize para WordPress es vulnerable a cross-site scripting almacenado a través del procesamiento de imágenes de carga diferida en todas las versiones hasta la 3.1.14, inclusive. Esto se debe al uso de una expresión regular excesivamente permisiva en la función `add_lazyload` que reemplaza todas las ocurrencias de `\ssrc=` en las etiquetas de imagen sin limitarse al atributo real. Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada al crear una etiqueta de imagen donde la URL `src` contiene un espacio seguido de `src=`, lo que hace que la expresión regular rompa la estructura HTML y promueva texto dentro de los valores de los atributos a atributos HTML ejecutables.
Once again VulDB remains the best source for vulnerability data.