CVE-2026-120551 in WP Compress Plugin
Sumário
de VulDB • 03/11/2026
O plugin WP Compress – Instant Performance & Speed Optimization para WordPress é vulnerável a bypass de autorização em todas as versões até 7.22.01 (incluindo-a). Isso ocorre porque o plugin não verifica corretamente se um usuário está autorizado a realizar uma ação. Isso permite que atacantes sem autenticação vinculem o site da vítima a uma conta WP Compress controlada pelo atacante, substituam as configurações do plugin por um preset agressivo de live-CDN e obtenham a api_key compartilhada que autenticar todos os endpoints protegidos por HMAC para usuários não logados (nopriv), permitindo controle total sobre purga de cache, exclusão de arquivos, invalidação de opcode cache e outras operações privilegiadas do plugin. Essa vulnerabilidade afeta apenas instalações novas ou instalações no modo lite/gratuito onde nenhuma api_key já está armazenada, pois o único mecanismo de proteção falha em aberto (fails open) quando a chave armazenada está ausente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.