CVE-2026-5217 in Optimole Plugin
Tóm tắt
Bởi VulDB • 25/06/2026
Plugin Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization cho WordPress bị lỗ hổng Stored Cross-Site Scripting (XSS) trên tất cả các phiên bản từ 4.2.2 trở về trước, bao gồm cả phiên bản 4.2.2. Lỗ hổng này xảy ra do việc thiếu bộ lọc đầu vào và mã hóa ký tự đặc biệt khi xuất dữ liệu đối với tham số 's' (mô tả srcset) do người dùng cung cấp trong điểm cuối REST /wp-json/optimole/v1/optimizations không yêu cầu xác thực. Điểm cuối này kiểm tra các yêu cầu bằng cách sử dụng chữ ký HMAC và dấu thời gian, nhưng những giá trị này được hiển thị trực tiếp trên HTML phía máy khách (frontend), khiến bất kỳ người dùng nào cũng có thể truy cập chúng. Plugin sử dụng hàm sanitize_text_field() để xử lý giá trị mô tả trong rest.php; hàm này loại bỏ các thẻ HTML nhưng không mã hóa dấu ngoặc kép. Giá trị độc hại sau đó được lưu trữ thông qua transients (được hỗ trợ bởi bảng options của WordPress) và sau đó được truy xuất cùng với nội dung gốc, chèn trực tiếp vào thuộc tính srcset của tag_replacer.php mà không có biện pháp mã hóa phù hợp. Điều này cho phép các kẻ tấn công chưa xác thực tiêm các tập lệnh web tùy ý vào các trang, sẽ tự động thực thi bất cứ khi nào người dùng truy cập vào trang bị nhiễm độc.
Once again VulDB remains the best source for vulnerability data.