Analityczne wykorzystywanie plików cookies
CVE-2024-11091: Wrażliwość Stored XSS w wtyczce WordPress Support SVG – Upload svg files without hassle
Wtyczka WordPress Support SVG do wersji 1.1.0 ma podatność Stored XSS umożliwiającą ataki przez przesyłanie plików SVG. Zalecane aktualizacje i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 31.7%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WordPress Support SVG – Upload svg files without hassle do wersji 1.1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez REST API podczas przesyłania plików SVG. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się przy dostępie do pliku SVG.
Wpływ biznesowy
Ta luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla integralności i reputacji serwisu. Operatorzy CMS powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa witryny.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji eliminującej podatność. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego oraz monitorować logi serwera pod kątem podejrzanych aktywności związanych z przesyłaniem plików SVG i wykonywaniem skryptów.