CVE-2026-0627: AMP for WP narażony na przechowywany XSS przez pliki SVG

Co wiadomo

Wtyczka AMP for WP dla WordPressa do wersji 1.1.10 włącznie zawiera lukę umożliwiającą przechowywany Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji zawartości SVG, która usuwa tylko tagi <script>, pozostawiając inne wektory XSS, takie jak zdarzenia onload, onerror czy elementy foreignObject.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty poprzez przesłane pliki SVG, które wykonają się podczas przeglądania pliku przez użytkownika. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki AMP for WP i ich wdrożenie. W przypadku braku łatki należy ograniczyć możliwość przesyłania plików SVG do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych aktywności. Warto również rozważyć dodatkowe mechanizmy filtrowania i walidacji przesyłanych plików SVG.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference