VULNERABILIDADDetectada 03 NOV · 03:03

CVE-2026-120551 Omisión de autorización en WP Compress

El plugin WP Compress para WordPress es vulnerable a omisión de autorización en todas las versiones hasta la 7.22.01, por no verificar correctamente que un usuario esté autorizado a realizar una acción. Atacantes no autenticados pueden vincular el sitio víctima a una cuenta de WP Compress controlada por el atacante, sobrescribir la configuración del plugin con un preset agresivo de CDN en vivo y obtener la api_key compartida que autentica todos los endpoints nopriv protegidos por HMAC, lo que permite control…

5.3MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,2 % · percentil 16
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

aresit WP Compress – Instant Performance & Speed Optimization
hasta 7.22.01

Qué hacer

Verificá si usás WP Compress – Instant Performance & Speed Optimization y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadBaja
DisponibilidadNinguna

Descripción original

The WP Compress – Instant Performance & Speed Optimization plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 7.22.01. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to link the victim site to an attacker-controlled WP Compress account, overwrite plugin settings to an aggressive live-CDN preset, and gain the shared api_key that authenticates all nopriv HMAC-gated endpoints — enabling full control over cache purging, file deletion, opcode cache invalidation, and other privileged plugin operations. This vulnerability only affects fresh installations or lite/free-mode installs where no api_key is already stored, as the sole guard fails open when the stored key is absent.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.