Analityczne wykorzystywanie plików cookies
CVE-2025-4970: BSK PDF Manager dla WordPress narażony na atak Stored XSS przez pliki SVG
Luka Stored XSS w BSK PDF Manager do WordPress umożliwia ataki przez pliki SVG w multisite i przy wyłączonym unfiltered_html. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.5 MEDIUM
- EPSS
- 20.31%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka BSK PDF Manager dla WordPress do wersji 3.7.1 włącznie posiada lukę Stored Cross-Site Scripting (XSS) związaną z przesyłaniem plików SVG. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy dostępie do plików SVG, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla bezpieczeństwa i integralności witryny. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączoną filtracją HTML, co wymaga szczególnej uwagi operatorów IT.
Rekomendowane działania administratora
Zaleca się sprawdzenie dostępności aktualizacji wtyczki BSK PDF Manager i ich szybkie zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować konfigurację multisite oraz ustawienia filtrowania HTML. Dodatkowo warto monitorować logi serwera pod kątem podejrzanej aktywności związanej z plikami SVG i rozważyć tymczasowe wyłączenie obsługi SVG, jeśli to możliwe.