Analityczne wykorzystywanie plików cookies
CVE-2023-7089: luka w wtyczce Easy SVG Allow dla WordPress
Luka CVE-2023-7089 w Easy SVG Allow WordPress pozwala użytkownikom z rolą Autora na przesłanie złośliwego SVG z XSS. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.4 MEDIUM
- EPSS
- 30.61%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- easy svg support
Co wiadomo
Wtyczka Easy SVG Allow do WordPressa w wersji do 1.0 nie sanitizuje przesyłanych plików SVG, co pozwala użytkownikom z rolą co najmniej Autora na przesłanie złośliwego pliku SVG zawierającego ładunki XSS.
Wpływ biznesowy
Ta luka umożliwia atakującym z rolą Autora w WordPressie wykonanie ataków XSS poprzez przesłanie złośliwego pliku SVG. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko związane z uprawnieniami użytkowników i kontrolą przesyłanych plików.
Rekomendowane działania administratora
Administratorzy powinni jak najszybciej sprawdzić dostępność aktualizacji wtyczki Easy SVG Allow i ją zainstalować. W międzyczasie zaleca się ograniczenie uprawnień użytkowników do przesyłania plików SVG oraz monitorowanie logów pod kątem podejrzanych aktywności. Warto również rozważyć zastosowanie dodatkowych mechanizmów filtrowania i walidacji plików SVG.