CVE-2024-9173: podatność XSS w wtyczce GF Custom Style dla WordPress

Co wiadomo

Wtyczka GF Custom Style dla WordPress do wersji 2.0 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas dostępu do pliku SVG.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki GF Custom Style u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji przesyłania plików SVG tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych działań i rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji przesyłanych plików.

Źródła

• NVD
• Reference
• Reference