CVE-2024-8046: Logo Showcase Ultimate - podatność XSS przez przesyłanie plików SVG

Co wiadomo

Wtyczka Logo Showcase Ultimate dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG w wersjach do 1.4.1 włącznie. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się przy dostępie do pliku SVG.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, defacementu strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Może to wpłynąć na zaufanie klientów oraz stabilność działania witryny WordPress korzystającej z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Logo Showcase Ultimate i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików SVG. Regularnie przeglądaj i audytuj uprawnienia użytkowników oraz stosuj zasady bezpieczeństwa dotyczące przesyłania plików.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference