CVE-2024-11092: Wrażliwość Stored XSS w wtyczce SVGPlus dla WordPress

Co wiadomo

Wtyczka SVGPlus dla WordPress do wersji 1.1.0 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików SVG za pomocą REST API. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas dostępu do pliku SVG.

Wpływ biznesowy

Ta luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów stron WordPress. Zagrożenie dotyczy przede wszystkim serwisów korzystających z wtyczki SVGPlus, co może wpłynąć na reputację i bezpieczeństwo witryny.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki SVGPlus i rozważyć aktualizację do nowszej, wolnej od podatności wersji, jeśli jest dostępna. W przypadku braku łatki zaleca się ograniczenie dostępu do funkcji przesyłania plików SVG do zaufanych użytkowników oraz monitorowanie logów pod kątem podejrzanej aktywności. Warto także przeprowadzić przegląd polityk bezpieczeństwa i wprowadzić dodatkowe mechanizmy filtrowania i sanitizacji przesyłanych plików.

Źródła

• NVD
• Reference
• Reference