افزونه WebP Express برای سیستم مدیریت محتوا (WordPress) دارای یک آسیب‌پذیری امنیتی از نوع Stored Cross-Site Scripting (XSS) است. در نسخه‌های قبل از 0.25.16، این افزونه مقادیر را در HTML parser داخلی خود به درستی پاک‌سازی (Escape) نمی‌کند. این نقص زمانی رخ می‌دهد که حالت تحویل تصویر (image delivery mode) روی حالت پیش‌فرض تنظیم نشده باشد.
این آسیب‌پذیری به کاربران بدون احراز هویت (Unauthenticated users) اجازه می‌دهد محتوای مخربی را ارسال کنند که در پایگاه داده ذخیره شده و متعاقباً در مرورگر هر کاربری که از صفحه آسیب‌پذیر بازدید می‌کند (از جمله مدیران یا Administrators) اجرا می‌شود.
علاوه بر این، بررسی‌های فنی نشان می‌دهند که نسخه‌های قدیمی‌تر این افزونه نیز با چالش‌های امنیتی دیگری روبرو بوده‌اند:
- نسخه‌های قبل از 0.14.8 دارای آسیب‌پذیری Stored XSS با شدت متوسط (CVSS 5.4) بودند.
- نسخه‌های قبل از 0.14.11 در برابر حمله Arbitrary File Reading (خواندن خودسرانه فایل‌ها) آسیب‌پذیر بودند.
توصیه می‌شود تمامی مدیران سایت‌های وردپرسی که از این افزونه استفاده می‌کنند، برای جلوگیری از سرقت نشست‌ها (Session Hijacking) یا دسترسی‌های غیرمجاز، بلافاصله آن را به آخرین نسخه موجود به‌روزرسانی کنند.
