PT-2026-38342 · WordPress · Wp-Optimize

Ly Hoang · Publicado 2026-05-07 · Atualizado 2026-05-07 · CVE-2026-7252

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas WP-Optimize – Cache, Compress images, Minify & Clean database to boost page speed & performance versões anteriores a 4.5.3

Descrição A validação insuficiente do caminho do arquivo na função unscheduled original file deletion() permite que atacantes autenticados com nível de acesso de autor ou superior excluam arquivos arbitrários no servidor. Isso ocorre porque original-file é uma chave meta pública que pode ser modificada por autores via API REST ou pelo formulário padrão de Edição de Mídia. A exclusão de arquivos críticos, como 'wp-config.php', pode levar à execução remota de código.

Recomendações Atualize o plugin para uma versão posterior a 4.5.2.

Correção

RCE

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-7252

Produtos afetados

Wp-Optimize

Referências · 13

• https://twitter.com/KaitanSecurity/status/2052282311564014004 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3518513/wp-optimize/trunk/includes/class-updraft-smush-manager.php · Nota
• https://twitter.com/CVEnew/status/2052400808705314980 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-optimize/trunk/includes/class-updraft-smush-manager.php#L1645 · Nota
• https://plugins.trac.wordpress.org/browser/wp-optimize/tags/4.5.2/includes/class-updraft-smush-manager.php#L1649 · Nota
• https://plugins.trac.wordpress.org/browser/wp-optimize/tags/4.5.2/includes/class-updraft-smush-manager.php#L1645 · Nota
• https://plugins.trac.wordpress.org/browser/wp-optimize/trunk/includes/class-updraft-smush-manager.php#L1649 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/cc815ef2-dd02-4faa-b202-dd1552f889db?source=cve · Nota
• https://t.me/CVEtracker/52954 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-7252 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/wp-optimize/trunk/includes/class-updraft-smush-manager.php#L81 · Nota
• https://plugins.trac.wordpress.org/changeset?old_path=%2Fwp-optimize/tags/4.5.2&new_path=%2Fwp-optimize/tags/4.5.3 · Nota
• https://plugins.trac.wordpress.org/browser/wp-optimize/tags/4.5.2/includes/class-updraft-smush-manager.php#L81 · Nota