CVE-2026-120551

WP Compress <= 7.22.01 - Missing Authorization to Unauthenticated Account Linking / Site Takeover via 'force_ic_connect' and 'apikey'…

CVSS 3.1Medium

5.3/ 10.0

Опубликовано

3 ноября 2026 г.

Обновлено

3 ноября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Исправленная версия не указана. Проверьте бюллетень производителя.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В плагине WP Compress до версии 7.22.01 включительно обнаружен обход авторизации. Неаутентифицированный атакующий может привязать сайт к сторонней учетной записи и перехватить ключ API.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Дефект вызван отсутствием надлежащей проверки прав пользователя на выполнение действия. Проверка защиты завершается успешно при отсутствии сохраненного ключа, поэтому уязвимы только новые или бесплатные установки, где еще не задан api_key.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Привязка сайта к учетной записи атакующего, перезапись настроек CDN, получение ключа api_key для доступа к эндпоинтам с проверкой HMAC, а также управление очисткой кэша, удалением файлов и инвалидацией кэша опкодов.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/42d4ec8b-d3ed-4aa3-a8b9-cddaf64a7531?source=cve
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/wp-compress-image-optimizer/tags/7.21.27/classes/mainwp.class.php#L29
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/wp-compress-image-optimizer/tags/7.21.27/classes/mainwp.class.php#L9
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/wp-compress-image-optimizer/tags/7.21.27/classes/connect.class.php#L103
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/changeset?reponame=&old=3680035%40wp-compress-image-optimizer&new=3680035%40wp-compress-image-optimizer

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-120551: WP Compress <= 7.22.01 - Missing Authorization to Unauthenticated Account Linking / Site Takeover via 'force_ic_connect' and 'apikey'…. URL: https://cve.futuretools.ru/cve/CVE-2026-120551

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_120551,
  title = {{CVE-2026-120551: WP Compress <= 7.22.01 - Missing Authorization to Unauthenticated Account Linking / Site Takeover via 'force_ic_connect' and 'apikey'…}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-120551}},
  note = {Оперативный инженерный анализ киберугроз}
}