CVE-2026-5217 in Optimole Plugin
Riassunto
di VulDB • 25/06/2026
Il plugin per WordPress Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization è vulnerabile ad una Stored Cross-Site Scripting (XSS) in tutte le versioni fino alla 4.2.2, inclusa. La vulnerabilità è dovuta a un'insufficiente sanitizzazione degli input e al mancato escaping dell'output sul parametro 's' fornito dall'utente (descrittore srcset) nell'endpoint REST /wp-json/optimole/v1/optimizations non autenticato. L'endpoint convalida le richieste utilizzando una firma HMAC e un timestamp, ma questi valori sono esposti direttamente nel codice HTML del frontend, rendendoli accessibili a qualsiasi visitatore. Il plugin utilizza sanitize_text_field() sul valore del descrittore in rest.php, che rimuove i tag HTML ma non effettua l'escaping delle doppie virgolette. Il descritttor "avvelenato" viene quindi memorizzato tramite transients (supportati dalla tabella delle opzioni di WordPress) e successivamente recuperato ed inserito letteralmente nell'attributo srcset del tag_replacer.php senza un adeguato escaping. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine, che verranno eseguiti ogni volta che un utente accede alla pagina infetta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.