CVE-2026-91049 XSS almacenado en EWWW Image Optimizer mediante el atributo 'data-script' de lazy load
El plugin EWWW Image Optimizer para WordPress antes de 8.9.1 no sanea ni restringe correctamente un valor del contenido de las entradas antes de usarlo para cargar y ejecutar dinámicamente un script en la página, lo que permite a atacantes autenticados con nivel de autor o superior inyectar scripts web arbitrarios que se ejecutan en la sesión de cualquier usuario que vea la página afectada, incluidos los administradores. Es una corrección incompleta de CVE-2026-15446: las restricciones de origen y ruta agregadas…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 10
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
EWWW Image Optimizer
desde 8.7.4 hasta antes de 8.9.1
Qué hacer
- Verificá si usás EWWW Image Optimizer y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.4 MEDIA
CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosAltos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The EWWW Image Optimizer WordPress plugin before 8.9.1 does not properly sanitize and restrict a value in post content before using it to dynamically load and execute a script in the page, allowing authenticated attackers with author-level access and above to inject arbitrary web scripts that run in the session of any user who views the affected page, including administrators.
This is an incomplete fix of CVE-2026-15446: the origin and path restrictions added from 8.7.4 onward were each bypassable, so versions 8.7.4 through 8.9.0 remain affected.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.