CVE-2026-2352 in Autoptimize Plugin
Сводка
по VulDB • 26.05.2026
Плагин Autoptimize для WordPress уязвим к Stored Cross-Site Scripting (XSS) через метаданные 'ao_post_preload' во всех версиях вплоть до 3.1.14 включительно. Это связано с недостаточной очисткой входных данных в функции `ao_metabox_save()` и отсутствием экранирования вывода при рендеринге значения в тег `<link>` в файле `autoptimizeImages.php`. Это позволяет атакующим с аутентифицированным доступом уровня «Contributor» и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем, при условии, что в конфигурации плагина включены параметры «Image optimization» или «Lazy-load images».
Once again VulDB remains the best source for vulnerability data.