Analityczne wykorzystywanie plików cookies
CVE-2024-9708: podatność Stored XSS w wtyczce Easy SVG Upload dla WordPress
Podatność Stored XSS w wtyczce Easy SVG Upload dla WordPress umożliwia atakującym z uprawnieniami autora wstrzyknięcie złośliwych skryptów przez pliki SVG.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.74%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- easy svg upload
Co wiadomo
Wtyczka Easy SVG Upload dla WordPress do wersji 1.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Atakujący z uprawnieniami co najmniej autora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy dostępie do załadowanego pliku SVG.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach CMS opartych na WordPress, gdzie ta wtyczka jest używana, ryzyko naruszenia integralności i bezpieczeństwa danych jest podwyższone.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Easy SVG Upload i zaktualizować ją do najnowszej dostępnej wersji, jeśli producent opublikował poprawkę. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień użytkowników, monitorowanie logów pod kątem podejrzanych działań oraz rozważenie tymczasowego wyłączenia funkcji przesyłania SVG. Regularne przeglądy i audyty bezpieczeństwa wtyczek są kluczowe dla minimalizacji ryzyka.