WordPress Plugin TinyPNG Arbitrary File Deletion Vulnerability (CVE-2026-7311)

漏洞概述 漏洞名称: TinyPNG <= 3.6.13 - Authenticated (Author+) Arbitrary File Deletion via 'convert.path' in 'tiny_compress_images' Post Meta CVE ID: CVE-2026-7311 CVSS评分: 8.1 (High) 发布日期: 2026年7月2日 最后更新日期: 2026年7月2日 研究人员: Iking 影响范围 软件类型: Plugin 软件名称: TinyPNG – JPEG, PNG & WebP image compression 受影响版本: <= 3.6.13 修复版本: 3.6.14 修复方案 修复建议: 更新到版本 3.6.14 或更高版本。 漏洞描述 该漏洞存在于TinyPNG插件中，由于在 函数中对文件路径验证不足，导致经过身份验证的攻击者（具有作者级别访问权限）可以删除服务器上的任意文件。攻击者可以通过在 字段中注入任意服务器文件路径，并在触发附件删除时调用漏洞代码路径，从而删除任意文件。 参考链接 plugins.trac.wordpress.org 其他信息 软件类型: Plugin 软件Slug: tiny-compress-images 是否已修复: Yes 修复版本: 3.6.14 近期漏洞 CVE-2024-47635: TinyPNG <= 3.4.3 - Cross-Site Request Forgery (CVSS: 4.3, 发布日期: 2024年9月30日) 免责声明 该记录包含受版权保护的材料，具体版权信息见页面底部。 联系方式 如需添加或更正信息，请联系： 业务时间 支持时间：9am-8pm ET, 6am-5pm PT 和 2pm-1am UTC/GMT（不包括周末和节假日） 响应时间：24小时支持，全年365天，1小时响应时间 其他链接 Terms of Service Privacy Policy and Notice at Collection Do Not Sell or Share My Personal Information 社交媒体 Twitter Facebook LinkedIn Instagram 产品与支持 Wordfence Free Wordfence Premium Wordfence Care Wordfence Response Wordfence CLI Wordfence Intelligence Wordfence Central 新闻与资源 Blog In The News Vulnerability Advisories 关于 About Wordfence Affiliate Program Employment Contact Security CVE Request Form 订阅更新 注册以获取新闻和更新，来自经验丰富的安全专业人士。 版权信息 © 2012-2026 Defiant Inc. All Rights Reserved 其他 Wordfence Intelligence Wordfence 总结 该页面主要介绍了TinyPNG插件中的一个严重漏洞，影响版本为3.6.13及以下，建议用户更新至3.6.14或更高版本以修复此漏洞。页面还提供了详细的漏洞描述、参考链接、近期漏洞信息以及Wordfence的相关服务和联系方式。

目標達成すべての支援者に感謝 — 100%達成しました！

WordPress Plugin TinyPNG Arbitrary File Deletion Vulnerability (CVE-2026-7311)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

WordPress Plugin TinyPNG Arbitrary File Deletion Vulnerability (CVE-2026-7311)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！