Analytical use of cookies
Уразливість Brizy – збережений XSS через завантаження SVG-файлів у REST API
Brizy для WordPress має уразливість Stored XSS через SVG-файли в REST API до версії 2.6.8. Рекомендується оновлення та обмеження доступу.
- CVSS
- 6.4 MEDIUM
- EPSS
- 27.18%
- Активно використовується
- немає в KEV
- Продукт
- brizy
Що відомо
Плагін Brizy – Page Builder для WordPress у версіях до 2.6.8 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію SVG-файлів, завантажених через REST API. Атакувальники з рівнем доступу Автор і вище можуть вставляти шкідливі скрипти, які виконуються при відкритті SVG-файлу користувачем.
Бізнес-вплив
Ця уразливість може дозволити авторизованим користувачам впроваджувати шкідливий код, що виконується у браузерах інших користувачів, потенційно призводячи до викрадення сесій, зміни контенту або інших атак. Власники сайтів на WordPress із встановленим Brizy повинні оцінити ризики, особливо якщо доступ до редактора мають кілька користувачів.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Brizy і застосувати їх, якщо вони доступні. Якщо оновлення неможливе, слід обмежити права користувачів, які можуть завантажувати SVG-файли, переглянути логи на предмет підозрілої активності та мінімізувати експозицію REST API. Також варто інформувати користувачів про потенційні ризики.