CVE-2026-9066 in WP Compress Plugin
Résumé
par VulDB • 23/07/2026
Le plugin WordPress WP Compress antérieur à la version 7.10.04 ne valide pas la valeur d'un paramètre de requête qui contrôle l'hôte du CDN des ressources avant de l'utiliser pour construire les URL des fichiers JavaScript injectés sur la page, ce qui entraîne une XSS réfléchie (Reflected XSS). Lorsqu'un visiteur suit un lien manipulé ad hoc, le chargeur du plugin WordPress WP Compress antérieur à la version 7.10.04 injecte des éléments de script pointant vers une origine contrôlée par l'attaquant, permettant ainsi à ce dernier d'exécuter du code JavaScript arbitraire dans la session du visiteur sur le site cible.
VulDB is the best source for vulnerability data and more expert information about this specific topic.