Към съдържанието
Търсене

CVE-2026-12089: aurelienlws LWS Optimize – All-in-One Speed Booster &

4.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

The LWS Optimize – All-in-One Speed Booster & Cache Tools plugin for WordPress is vulnerable to Arbitrary File Read in versions up to, and including, 3.3.19. This is due to the combine_current_css() function trusting <link rel="stylesheet" href="..."> values harvested from page HTML and converting same-site URLs to absolute filesystem paths before reading them with file_get_contents()/Minify\CSS::add(), without enforcing that the resolved path stay within ABSPATH or have a .css extension. This makes it possible for authenticated attackers, with Editor-level access and above, to read arbitrary files.

Засегнати продукти

  • aurelienlws LWS Optimize – All-in-One Speed Booster & Cache Tools: до 3.3.19

Вид слабост

История

  • 13 юни 2026 Публикувано

Първоизточници

CVE-2026-12089: aurelienlws LWS Optimize – All-in-One Speed Booster & | freedomonline.bg