CVE-2026-91049— EWWW Image Optimizer 8.7.4-8.9.0 存储型 XSS 漏洞
一分钟漏洞结论
影响对象
Unknown EWWW Image Optimizer
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
EWWW Image Optimizer WordPress 插件在 8.9.1 版本之前，未对帖子内容中的某个值进行适当的清理和限制，便将其用于在页面中动态加载并执行脚本。这使得拥有作者级别及以上权限的已认证攻击者能够注入任意 Web 脚本，这些脚本将在任何查看受影响页面的用户（包括管理员）的会话中执行。 此问题是对 CVE-2026-15446 的不完整修复：自 8.7.4 版本起所添加的源站和路径限制均存在绕过方法，因此 8.7.4 至 8.9.0 版本仍然受此漏洞影响。
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Unknown | EWWW Image Optimizer | 8.7.4< 8.9.1 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-91049 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
EWWW Image Optimizer 8.7.4 - 8.9.0 - Author+ Stored XSS via 'data-script' Lazy Load Attribute
来源: CVE Program / CVE List V5
Vulnerability Description
The EWWW Image Optimizer WordPress plugin before 8.9.1 does not properly sanitize and restrict a value in post content before using it to dynamically load and execute a script in the page, allowing authenticated attackers with author-level access and above to inject arbitrary web scripts that run in the session of any user who views the affected page, including administrators.
This is an incomplete fix of CVE-2026-15446: the origin and path restrictions added from 8.7.4 onward were each bypassable, so versions 8.7.4 through 8.9.0 remain affected.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | EWWW Image Optimizer | 8.7.4 ~ 8.9.1 | - |
|
二、漏洞 CVE-2026-91049 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-91049 的情报信息
请登录查看更多情报信息。
CVE-2026-91049 其他参考 (1)
-
https://wpscan.com/vulnerability/cdaf3779-3e8a-4997-9868-707bcc06f9a7/ exploit vdb-entry technical-description
同批安全公告 · Unknown · 2026-11-05 · 共 29 条
| CVE-2026-107776 | 2.2 LOW | Dokan 5.3.3 以下版本优惠券支付绕过漏洞 |
| CVE-2026-90963 | Essential Real Estate <5.3.5 未授权信息泄露漏洞 | |
| CVE-2026-16304 | WP Event Manager 3.4.2 之前任意文章接管漏洞 | |
| CVE-2026-85347 | FV Player 7.5.56.7212 存储型跨站脚本漏洞 | |
| CVE-2026-85351 | FV Player 7.5.56.7212 媒体导入 SSRF 漏洞 | |
| CVE-2026-85346 | FV Player 7.5.56.7212 云存储文件泄露漏洞 | |
| CVE-2026-19256 | All In One Login 2.4.0-2.4.1 短信 OTP 暴力破解漏洞 | |
| CVE-2026-86442 | WP Event Manager 3.4.0-3.4.1 未授权IDOR漏洞 | |
| CVE-2026-86795 | Community Events 1.6.0 未认证待办事件披露漏洞 | |
| CVE-2026-85570 | Tutor LMS 4.1.3 订阅者测验答案泄露漏洞 | |
| CVE-2026-87856 | WooCommerce Subscriptions 2.0.0-2.1.0 未授权内容限制绕过 | |
| CVE-2026-88814 | YITH 礼品卡<4.38.1 竞态条件导致余额重复消费漏洞 | |
| CVE-2026-90964 | Essential Real Estate 5.3.5 未认证任意邮件发送漏洞 | |
| CVE-2026-90966 | Essential Real Estate 5.3.5 任意付费包激活与伪造发票漏洞 | |
| CVE-2026-90965 | Essential Real Estate 5.3.5 未认证未发布房源图片泄露 | |
| CVE-2025-15701 | Easy Social Icons 4.0.3 管理员存储型 XSS 漏洞 | |
| CVE-2025-15702 | Cloud Blocks 1.1.8 未认证存储型 XSS 漏洞 | |
| CVE-2026-90967 | Essential Real Estate 5.3.5 之前 IDOR 导致客户发票 PII 泄露 | |
| CVE-2026-100144 | IVPAY payments 1.0.8 未认证SQL注入漏洞 | |
| CVE-2026-107775 | Dokan < 5.3.3 管理员跨站点激活漏洞 |
显示前 20 条，共 29 条。 查看全部 → →