→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-120551 · wp-compress-image-optimizer
دور زدن مجوز دسترسی (Authorization Bypass) در افزونه WP Compress Image Optimizer
افزونه WP Compress – Instant Performance & Speed Optimization در نسخه‌های ۷.۲۲.۰۱ و پایین‌تر، به‌دلیل بررسی نادرست مجوز کاربر، به مهاجمان احرازهویت‌نشده اجازه می‌دهد سایت را به یک حساب تحت کنترل مهاجم متصل کنند، تنظیمات افزونه را بازنویسی کنند و به کلید API مشترک دسترسی یابند. در نتیجه، عملیات حساس افزونه مانند پاک‌سازی کش، حذف فایل و ابطال کش opcode در معرض سوءاستفاده قرار می‌گیرد؛ این مشکل عمدتاً نصب‌های تازه یا حالت رایگان/سبک بدون کلید API را تحت تأثیر قرار می‌دهد. وصله رسمی هنوز منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا دسترسی به آن را با فایروال وب (WAF) محدود کنید و تا انتشار وصله از ادامه استفاده از نسخه آسیب‌پذیر خودداری کنید.
نسخه‌های تحت تأثیر
<= 7.22.01
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-compress-image-optimizer را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://plugins.trac.wordpress.org/browser/wp-compress-image-optimizer/tags/7.21.27/classes/connect.class.php#L103 ↗
- https://plugins.trac.wordpress.org/browser/wp-compress-image-optimizer/tags/7.21.27/classes/mainwp.class.php#L29 ↗
- https://plugins.trac.wordpress.org/browser/wp-compress-image-optimizer/tags/7.21.27/classes/mainwp.class.php#L9 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3680035%40wp-compress-image-optimizer&new=3680035%40wp-compress-image-optimizer ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/42d4ec8b-d3ed-4aa3-a8b9-cddaf64a7531?source=cve ↗