CVE-2020-24948

Plugin Autoptimize para WordPress, versão 2.7.6

O problema decorre da chamada AJAX ao ccss import, que não verifica se o arquivo enviado é um arquivo Zip legítimo. Isso permite que usuários com privilégios elevados enviem arquivos arbitrários, incluindo arquivos PHP, levando à execução remota de comandos.

Para o plugin Autoptimize para WordPress versão 2.7.6, considere desativar a chamada AJAX ao ccss import até que uma correção esteja disponível para impedir o upload de arquivos arbitrários. Restrinja o acesso a essa funcionalidade para minimizar o risco de exploração. Evite usar esse recurso até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.