CVE-2026-15446

Nome do Software Vulnerável e Versões Afetadas EWWW Image Optimizer versões anteriores a 8.7.4

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Um atacante pode incorporar um elemento img manipulado com a classe lazyload e um atributo data-script apontando para uma URL maliciosa no conteúdo de uma postagem. O complemento ls.unveilhooks do lazysizes, incluído no plugin, cria e insere dinamicamente um elemento de script no Document Object Model (DOM) quando um usuário visualiza a página, executando o script web arbitrário.

Recomendações Atualize para a versão 8.7.4 ou posterior.