CVE-2026-108587

Nome do Software Vulnerável e Versões Afetadas 10Web Booster versões anteriores a 2.34.11

Descrição Um problema de upload arbitrário de arquivos existe na função compressCustom(). A falha decorre da ausência de validação do tipo de arquivo e filtragem de extensão no parâmetro page id. Isso é combinado com o vazamento de um nonce REST (tenwebio rest) que é automaticamente serializado em um arquivo legível por qualquer usuário no diretório wp-content/uploads/ sempre que um lote de otimização em massa é pausado. Como esse nonce é gerado com um ID de usuário 0, ele permite que invasores não autenticados ignorem as verificações de autenticação e façam o upload de arquivos executáveis, resultando em execução remota de código.

Recomendações Atualize o plugin para uma versão posterior à 2.34.10.