CVE-2024-10222: podatność na Stored Cross-Site Scripting w wtyczce SVG Support dla WordPress

Co wiadomo

Wtyczka SVG Support dla WordPress do wersji 2.5.10 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG z niewystarczającą sanitacją danych. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas dostępu do pliku SVG.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach, gdzie możliwość przesyłania SVG jest rozszerzona na autorów, ryzyko narażenia na atak rośnie, co może wpłynąć na bezpieczeństwo i reputację serwisu.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki SVG Support i zaktualizować ją do najnowszej dostępnej wersji, jeśli jest dostępna poprawka. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień do przesyłania plików SVG wyłącznie do zaufanych użytkowników oraz monitorowanie logów pod kątem podejrzanej aktywności. Warto również rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitacji przesyłanych plików SVG.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference