CVE-2024-11098: Wrażliwość Stored XSS w wtyczce SVG Block dla WordPress

Co wiadomo

Wtyczka SVG Block dla WordPress do wersji 1.1.24 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików SVG za pomocą REST API. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala administratorom na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas dostępu użytkowników do plików SVG, co może prowadzić do przejęcia sesji lub innych działań szkodliwych dla użytkowników i integralności witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS i danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki SVG Block u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji przesyłania plików SVG do zaufanych administratorów, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt bezpieczeństwa. Priorytetem jest szybkie załatanie luki i ograniczenie ekspozycji na ataki.

Źródła

• NVD
• Reference
• Reference
• Reference