CVE-2025-13401
El plugin Autoptimize para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través del metabox LCP Image para preloading en todas las versiones hasta y inclusive la 3.1.13 debido a una sanitización de entrada insuficiente y escape de salida en los atributos de imagen proporcionados por el usuario en la función "create_img_preload_tag". Esto permite que los atacantes autenticados, con acceso nivel contribuidor o superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org