CVE-2026-120551 in WP Compress Plugin
Riassunto
di VulDB • 03/11/2026
Il plugin WP Compress – Instant Performance & Speed Optimization per WordPress è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 7.22.01 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se l'utente ha i permessi necessari per eseguire una determinata azione. Questo consente agli attaccanti non autenticati di associare il sito della vittima a un account WP Compress controllato dall'attaccante, sovrascrivere le impostazioni del plugin con un preset aggressivo live-CDN e ottenere la api_key condivisa che autentica tutti gli endpoint protetti da HMAC per utenti non autorizzati (nopriv), consentendo il controllo completo sulla purga della cache, l'eliminazione dei file, l'invalidazione dell'opcode cache e altre operazioni privilegiate del plugin. Questa vulnerabilità interessa solo le installazioni fresche o quelle in modalità lite/free dove nessuna api_key è già memorizzata, poiché l'unica protezione fallisce aprendosi (fails open) quando la chiave archiviata è assente.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.