PT-2026-55284 · WordPress · Tinypng

Lhking · Publicado 2026-07-02 · Atualizado 2026-07-02 · CVE-2026-7311

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas TinyPNG – JPEG, PNG & WebP image compression plugin for WordPress versões anteriores a 3.6.14

Descrição A validação insuficiente do caminho do arquivo na função delete converted image size() permite que atacantes autenticados com nível de acesso de autor ou superior excluam arquivos arbitrários no servidor. Isso pode ser feito injetando um caminho de arquivo do servidor no campo convert.path do post meta tiny compress images em um anexo de propriedade do atacante e, em seguida, acionando a exclusão do anexo. A exclusão de arquivos críticos, como o wp-config.php, pode levar à execução remota de código.

Recomendações Atualize o plugin para a versão 3.6.14 ou posterior.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-7311

Produtos afetados

Tinypng

Referências · 9

• https://plugins.trac.wordpress.org/changeset/3532827/tiny-compress-images · Nota
• https://plugins.trac.wordpress.org/browser/tiny-compress-images/tags/3.6.13/src/config/class-tiny-config.php#L12 · Nota
• https://twitter.com/CVEnew/status/2072756729436062036 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/tiny-compress-images/tags/3.6.13/src/class-tiny-image.php#L144 · Nota
• https://twitter.com/infoflowcloud/status/2072757437707297024 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/tiny-compress-images/tags/3.6.13/src/class-tiny-image-size.php#L245 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/eb8a673e-a192-41d4-b53b-7d786887242d?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-7311 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/tiny-compress-images/tags/3.6.13/src/class-tiny-plugin.php#L859 · Nota