CVE-2025-12451: Luka XSS w wtyczce Easy SVG Support dla WordPress

Co wiadomo

Wtyczka Easy SVG Support dla WordPress do wersji 4.0 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co umożliwia atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika odwiedzającego stronę z załadowanym zainfekowanym plikiem SVG. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron WordPress powinni zwrócić uwagę na potencjalne ryzyko związane z uprawnieniami użytkowników i przesyłaniem plików SVG.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy SVG Support i jej instalację, jeśli została wydana poprawka. W międzyczasie warto ograniczyć uprawnienia do przesyłania plików SVG tylko do zaufanych użytkowników oraz monitorować logi serwera pod kątem podejrzanych aktywności. Przegląd i weryfikacja przesyłanych plików SVG pod kątem złośliwego kodu również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference