CVE-2024-11184: podatność w wtyczce wp enable svg umożliwiająca przesyłanie złośliwych SVG

Co wiadomo

Wtyczka WordPress wp enable svg w wersjach do 0.7 nie oczyszcza plików SVG podczas przesyłania, co pozwala użytkownikom z uprawnieniami autora i wyższymi na przesyłanie SVG zawierających złośliwe skrypty. Może to prowadzić do wykonania nieautoryzowanego kodu w przeglądarce.

Wpływ biznesowy

Ta luka może zostać wykorzystana do ataków typu cross-site scripting (XSS), co zagraża bezpieczeństwu witryny i jej użytkowników. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z przesyłaniem plików SVG przez użytkowników o podwyższonych uprawnieniach. Niezabezpieczone środowisko może skutkować utratą zaufania klientów i potencjalnymi naruszeniami danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki wp enable svg i jej instalację. W międzyczasie ogranicz uprawnienia do przesyłania plików SVG tylko do zaufanych użytkowników oraz monitoruj logi serwera pod kątem podejrzanych aktywności. Warto również rozważyć zastosowanie dodatkowych mechanizmów filtrowania i walidacji przesyłanych plików SVG.

Źródła

• NVD
• Reference