Analityczne wykorzystywanie plików cookies
Luka wtyczki Jupiter X Core WordPress umożliwiająca Stored XSS przez pliki SVG
Wtyczka Jupiter X Core do WordPressa ma lukę Stored XSS przez pliki SVG. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.16%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- jupiter x core
Co wiadomo
Wtyczka Jupiter X Core dla WordPressa do wersji 4.8.12 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) poprzez niewystarczającą sanitację i eskapowanie danych SVG. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania strony z załączonym plikiem SVG.
Wpływ biznesowy
Luka pozwala na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej i danych użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Jupiter X Core u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji obsługujących pliki SVG, jeśli to możliwe.