CVE-2026-119070

Nome do Software Vulnerável e Versões Afetadas Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization plugin for WordPress versões anteriores a 4.2.18

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas através do parâmetro comment. Esses scripts são executados sempre que um usuário acessa a página afetada. O problema requer que o plugin esteja em seu estado conectado normal, com cdn key e cdn secret configurados e o substituto de imagem ativado. O payload ignora os filtros de sanitização de comentários do WordPress porque não contém metacaracteres HTML no momento do armazenamento; os caracteres são produzidos pelo próprio decodificador do plugin no momento da renderização.

Recomendações Atualize o plugin para a versão 4.2.18 ou posterior.