CVE-2026-104755

WordPress üçün olan WP Compress – Instant Performance & Speed Optimization plagini 7.25.00 versiyası daxil olmaqla bütün versiyalarda İmtiyazların Yüksəldilməsi zəifliyinə malikdir. Zəiflik ondan qaynaqlanır ki, hər bir ön tərəf (front-end) sorğusuna bağlanan `start_comms` dispenseri (`wps_ic_comms::start_comms`), girişə yalnız çağırıcı tərəfindən təqdim edilən `apikey` parametrinin plaginində saxlanılan API açarı ilə müqayisəsi vasitəsilə icazə verir və burada heç bir WordPress imkan yoxlaması (capability check) və ya nonce doğrulaması aparılmır. Daha sonra təsdiqlənməmiş `group`, `setting` və `value` parametrləri birbaşa `change_setting()` funksiyasına ötürülür və həmin funksiya onları icazə verilənlər siyahısı olmadan `WPS_IC_SETTINGS` seçiminə yazır. Bu, autentifikasiya olunmamış hücumçulara plaginin parametrlərinə istənilən icazə açarlarını yazmağa imkan verir ki, bu da `wps_ic_users::checkAndAddCaps()` funksiyasının Abunəçi (Subscriber) daxil olmaqla hər hansı WordPress roluna `manage_wpc_settings` imkanını verməsinə səbəb olur və beləliklə, plaginin optimallaşdırma, CDN və kritik-CSS sahələri üzərində plagin administratoruna ekvivalent nəzarət əldə edilir. Avtorizasiya yoxlamasından keçmək üçün tələb olunan API açarının özü `wpc_send_critical_remote` nopriv AJAX hərəkəti vasitəsilə autentifikasiyasız əldə edilə bilər: kənar kritik-CSS xidməti `apiResults` sahəsini qaytardıqda, `initCritical()` funksiyası saxlanılan plagin API açarını `wp_send_json_success` cavabı ilə çağırıcıya geri göndərir və beləliklə, eksployt zənciri tamamilə WordPress girişi olmadan tamamlanır.