CVE-2024-12574: podatność Stored XSS w wtyczce SVG Shortcode dla WordPress

Co wiadomo

Wtyczka SVG Shortcode dla WordPress do wersji 1.0.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Brak odpowiedniej sanitacji i escapingu danych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które wykonują się przy dostępie do pliku SVG.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu witryny i jej odwiedzających. Atakujący mogą wykorzystać tę lukę do kradzieży danych sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako średniego ryzyka i podjąć działania minimalizujące potencjalne szkody.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SVG Shortcode u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć możliwość przesyłania plików SVG do zaufanych użytkowników oraz monitorować logi serwera pod kątem podejrzanych aktywności. Dodatkowo, warto przeprowadzić przegląd konfiguracji zabezpieczeń WordPress i rozważyć stosowanie mechanizmów filtrujących zawartość przesyłanych plików.

Źródła

• NVD
• Reference
• Reference