CVE-2026-104755

WordPress için geliştirilen WP Compress – Instant Performance & Speed Optimization eklentisinin 7.25.00 dahil tüm sürümleri Yetki Yükseltme zafiyetine sahiptir. Zafiyet, her ön uç isteğine kancalanan `start_comms` dağıtıcısının (`wps_ic_comms::start_comms`), erişimi yalnızca çağırıcı tarafından sağlanan `apikey` parametresini saklanan eklenti API anahtarıyla karşılaştırarak kontrol etmesinden; herhangi bir WordPress yetenek kontrolü ve nonce doğrulaması yapmamasından kaynaklanmaktadır. Ardından, doğrulanmamış `group`, `setting` ve `value` parametreleri doğrudan, bunları bir izin listesi olmadan `WPS_IC_SETTINGS` seçeneğine yazan `change_setting()` fonksiyonuna aktarılmaktadır. Bu durum, kimliği doğrulanmamış saldırganların eklenti ayarlarına rastgele izin anahtarları yazmasını mümkün kılarak `wps_ic_users::checkAndAddCaps()` fonksiyonunun Abone dahil herhangi bir WordPress rolüne `manage_wpc_settings` yetkisi vermesine neden olur ve böylece eklentinin optimizasyon, CDN ve kritik-CSS alanları üzerinde eklenti yöneticisine eşdeğer kontrol sağlanmasına yol açar. Yetkilendirme kontrolünü geçmek için gereken API anahtarının kendisi, `wpc_send_critical_remote` nopriv AJAX işlemi aracılığıyla kimlik doğrulaması olmadan elde edilebilir: harici kritik-CSS servisi bir `apiResults` alanı döndürdüğünde, `initCritical()` saklanan eklenti API anahtarını bir `wp_send_json_success` yanıtı ile çağırıcıya geri yansıtır ve böylece istismar zinciri tamamen bir WordPress girişi gerektirmeden tamamlanır.