WP Compress · plugin de otimização e cache
Afeta: sites no modo gratuito/lite ou sem chave de API salva
Em sites que usam o WP Compress no modo gratuito ou sem conta conectada, um visitante sem login pode ligar o site à conta dele, mudar as configurações de otimização e mexer no cache, o que pode deixar o site lento ou com páginas quebradas.
Você mesmo
- Atualizar o WP Compress para a versão mais recente (7.30.30 ou superior).
- Conferir nas configurações do plugin se o site está ligado à sua conta do WP Compress e se o modo de CDN é o que você escolheu.
- Se não usa o plugin, desativá-lo.
Seu dev ou hospedagem
- Conferir a api_key salva nas opções do plugin e gerar uma nova se houver suspeita de vinculação indevida.
- Procurar nos logs chamadas não autenticadas às ações de conexão do plugin (parâmetros force_ic_connect e apikey).
- Confirmar a versão com: wp plugin get wp-compress-image-optimizer --field=version.
Detalhes técnicos: Falta de verificação de autorização no WP Compress permite que visitantes sem login liguem o site a uma conta do WP Compress controlada pelo atacante, sobrescrevam as configurações com um preset agressivo de CDN e obtenham a api_key compartilhada que autentica endpoints protegidos por HMAC (limpeza de cache, exclusão de arquivos, invalidação do cache de opcode). Só é explorável em instalações novas ou no modo lite/gratuito sem api_key salva, porque a verificação “falha aberta”. Afeta as versões até a 7.22.01; a fonte não informa a versão corrigida. CVSS 5.3; sem registro de exploração ativa.