CVE-2024-5945: podatność Stored XSS w wtyczce WP SVG Images dla WordPress

Co wiadomo

Wtyczka WP SVG Images do WordPressa do wersji 4.3 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) poprzez parametr 'type' z powodu niewystarczającej sanitacji danych wejściowych. Atakujący z uprawnieniami autora lub wyższymi mogą obejść mechanizmy sanitizacji SVG i wstrzyknąć złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta umożliwia atakującym z dostępem do przesyłania plików na stronie WordPressa wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub dalszych ataków na infrastrukturę. Właściciele serwisów korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WP SVG Images do wersji 4.4 lub nowszej, w której podatność została całkowicie załatana. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników do przesyłania plików SVG oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd i weryfikacja przesyłanych plików SVG oraz stosowanie dodatkowych mechanizmów zabezpieczających jest wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference