CVE-2026-11784

中已发布

Optimole – 优化图片 | 转换 WebP 与 AVIF | CDN 与延迟加载 | 图片优化 <= 4.2.6 - 通过 'optml_replace_file' AJAX 操作进行的跨站请求伪造

已发布: 2026年6月18日
已更新: 2026年6月18日
分配 CNA: Wordfence
观察到的证据: 2026年8月8日

初级CVSS

4.3/ 10中

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

EPSS概率估计

0.2%

低 · 未来 30 天

百分位: 13.8%
型号日期: 2026年9月21日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization WordPress 插件在直至并包括 4.2.6 的所有版本中均存在跨站请求伪造（CSRF）漏洞。这是由于 replace_file 函数缺少或错误的 nonce 验证所致。这使未经身份验证的攻击者能够通过提交伪造的 multipart POST 请求，针对受害者拥有 edit_post 能力的任何附件，用攻击者提供的文件内容覆盖现有媒体附件，前提是攻击者能够诱骗站点管理员执行诸如点击链接之类的操作。该伪造请求需要至少具备作者（Author）级权限的受害者，因为处理程序强制执行 current_user_can('edit_post', $id) 检查；诱骗作者级或更高权限的用户点击精心构造的链接，即足以对该用户可编辑的附件触发覆盖。

来源

CVE-2026-11784-Optimole-CSRFPoC
CVE-2026-11784的概念验证漏洞利用，这是Optimole WordPress插件中的一个CSRF漏洞，由于缺少nonce验证，允许任意文件覆盖。

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。