CVE-2024-9069: podatność Stored XSS w wtyczce Graphicsly dla WordPress

Co wiadomo

Wtyczka Graphicsly do WordPress (wersje do 1.0.2 włącznie) jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików SVG. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania tych plików.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie autora lub wyższym wstrzyknięcie i wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków. Może to wpłynąć na bezpieczeństwo i reputację serwisu opartego na WordPress, zwłaszcza jeśli wtyczka jest używana do zarządzania grafiką.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Graphicsly i ich wdrożenie. W międzyczasie ogranicz dostęp do przesyłania plików SVG tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji przesyłanych plików SVG.

Źródła

• NVD
• Reference
• Reference