CVE-2026-120551 in WP Compress Plugin
要約
〜によって VulDB • 2026年11月03日
WordPress用プラグイン「WP Compress – Instant Performance & Speed Optimization」には、バージョン7.22.01以前すべての版において認可回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかをプラグインが適切に検証していないためです。これにより、認証されていない攻撃者は被害者サイトを攻撃者が制御するWP Compressアカウントに関連付けたり、プラグイン設定を積極的なライブCDNプリセットで上書きしたりし、すべてのnopriv HMACゲート付きエンドポイントを認証するための共有api_keyを取得できます。これにより、キャッシュの削除、ファイルの削除、opcodeキャッシュの有効期限切れなどの特権のあるプラグイン操作に対する完全な制御が可能になります。この脆弱性は、保存されたキーが存在しない場合に唯一のガードがオープンになるため、freshインストールまたはlite/freeモードのインストール（すでにapi_keyが格納されていない場合）にのみ影響します。
Be aware that VulDB is the high quality source for vulnerability data.