CVE-2026-4335

WordPress üçün ShortPixel Image Optimizer plagini 6.4.3 daxil olmaqla bütün versiyalarda qoşma faylın post_title parametri vasitəsilə Saxlanılan Saytlararası Skriptinqə (Stored XSS) qarşı həssasdır. Bu, getEditorPopup() funksiyasında və ona uyğun gələn media-popup.php şablonunda çıxışın kifayət qədər təmizlənməməsi (escaping) səbəbindən baş verir. Konkret olaraq, qoşmanın post_title dəyəri AjaxController.php faylında (sətir 435) get_post() vasitəsilə verilənlər bazasından götürülür və birbaşa görünüş şablonuna (sətir 449) ötürülür; burada həmin dəyər esc_attr() təmizlənməsi olmadan HTML giriş elementinin value atributuna yerləşdirilir (media-popup.php sətir 139). WordPress Müəlliflərin (Authors) REST API vasitəsilə ixtiyari qoşma başlıqları (o cümlədən qoşa dırnaq simvolları) təyin etməsinə icazə verdiyi üçün, zərərli müəllif HTML atributundan çıxan və ixtiyari JavaScript hadisə idarəçilərini (event handlers) inyeksiya edən qoşma başlığı yarada bilər. Bu, Müəllif səviyyəsində və daha yuxarı girişi olan autentifikasiya olunmuş hücumçulara, daha yüksək imtiyazlı istifadəçi (məsələn, administrator) zəhərlənmiş qoşma üçün ShortPixel AI redaktor pəncərəsini (Background Removal və ya Image Upscale) açdıqda icra olunan ixtiyari veb skriptləri inyeksiya etməyə imkan verir.