CVE-2023-5458: podatność na XSS w wtyczce CITS Support SVG, WebP i TTF/OTF dla WordPress

Co wiadomo

Wtyczka CITS Support SVG, WebP Media oraz TTF/OTF File Upload dla WordPress w wersjach przed 3.0 nie sanitizuje przesyłanych plików SVG, co umożliwia użytkownikom z rolą co najmniej Autora przesyłanie złośliwych plików SVG zawierających ładunki XSS.

Wpływ biznesowy

Podatność ta może prowadzić do ataków Cross-Site Scripting (XSS), które zagrażają bezpieczeństwu witryny i jej użytkowników. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią strony lub przejęcia kontroli nad kontem użytkownika. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko związane z uprawnieniami użytkowników i możliwym wpływem na integralność oraz poufność danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do wersji 3.0 lub nowszej, w której problem został załatany. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników do przesyłania plików SVG, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji przesyłanych plików.

Źródła

• NVD
• Reference