Analityczne wykorzystywanie plików cookies
CVE-2024-9064: podatność Stored XSS w wtyczce Elementor Inline SVG
Podatność Stored XSS w wtyczce Elementor Inline SVG do wersji 1.2.0 umożliwia atakującym wstrzyknięcie skryptów przez pliki SVG. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- elementor inline svg
Co wiadomo
Wtyczka Elementor Inline SVG dla WordPressa do wersji 1.2.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Problem wynika z niewystarczającej sanitizacji danych wejściowych i braku odpowiedniego escapingu, co pozwala atakującym z uprawnieniami autora lub wyższymi na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście użytkowników odwiedzających strony z załadowanymi plikami SVG. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy CMS powinni zweryfikować obecność tej wtyczki i jej wersji w swoich środowiskach.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elementor Inline SVG u dostawcy oraz jej wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, szczególnie w zakresie przesyłania plików SVG. Dodatkowo warto przejrzeć logi pod kątem podejrzanych aktywności i monitorować system pod kątem nietypowego zachowania.