Analityczne wykorzystywanie plików cookies
CVE-2024-8964: podatność Stored XSS w wtyczce Sirv dla WordPress
Wtyczka Sirv do WordPress ma lukę Stored XSS przez przesyłanie plików SVG. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.59%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- sirv
Co wiadomo
Wtyczka Sirv do WordPress, służąca do optymalizacji i zmiany rozmiaru obrazów oraz CDN, jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików SVG. Luka dotyczy wszystkich wersji do 7.2.9 włącznie i wynika z niewystarczającej sanitizacji danych wejściowych oraz braku odpowiedniego zabezpieczenia wyjścia.
Wpływ biznesowy
Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym dostępie użytkownika do pliku SVG. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Sirv i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, zweryfikować przesłane pliki SVG pod kątem złośliwego kodu oraz monitorować logi serwera pod kątem podejrzanych aktywności. Warto również rozważyć tymczasowe wyłączenie funkcji przesyłania SVG, jeśli to możliwe.