CVE-2024-9853: ID-SK Toolkit dla WordPress umożliwia atak Stored XSS przez pliki SVG

Co wiadomo

Wtyczka ID-SK Toolkit dla WordPress do wersji 1.7.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas otwierania pliku SVG przez użytkownika.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania nieautoryzowanego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu witryny i jej odwiedzających. Może to skutkować kradzieżą danych sesji, defacementem strony lub innymi atakami skierowanymi na użytkowników. Operatorzy CMS powinni zwrócić szczególną uwagę na kontrolę przesyłanych plików i uprawnienia użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ID-SK Toolkit i jej instalację. W międzyczasie ogranicz uprawnienia do przesyłania plików SVG tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj politykę sanitizacji i escapingu danych wejściowych oraz rozważ wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference