Уразливість у плагіні SVG Uploads Support для WordPress дозволяє завантажувати шкідливі SVG-файли

Що відомо

Плагін SVG Uploads Support для WordPress версії до 2.1.1 не очищує завантажені SVG-файли, що дозволяє користувачам з роллю Автор завантажувати SVG з XSS-скриптами. Це створює ризик виконання шкідливого коду на сайті.

Бізнес-вплив

Для власників сайтів на WordPress, які використовують цей плагін, існує ризик компрометації через XSS-атаки, що можуть призвести до викрадення сесій або зміни контенту. Адміністратори повинні врахувати цей ризик при управлінні ролями користувачів і плагінами, особливо якщо на сайті дозволено завантаження SVG-файлів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх. Якщо оновлень немає, обмежте можливість завантаження SVG-файлів користувачам з низькими правами, перегляньте журнали безпеки на предмет підозрілої активності та розгляньте тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference