Уразливість у плагіні webp & svg support для WordPress дозволяє XSS-атаки

Що відомо

Плагін WebP & SVG Support для WordPress версії до 1.4.0 не очищує завантажені SVG-файли, що дозволяє користувачам з роллю Автор завантажувати шкідливі SVG з XSS-скриптами. Це створює ризик виконання небезпечного коду на сайті.

Бізнес-вплив

Для власників сайтів на WordPress, які використовують цей плагін, існує середній рівень ризику компрометації через XSS-атаки, що можуть призвести до викрадення сесій або зміни контенту. Адміністратори повинні оцінити вплив у контексті ролей користувачів і потенційного доступу до завантаження файлів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх. Якщо оновлення недоступні, обмежте можливість завантаження SVG-файлів користувачам з низькими ролями, перегляньте логи на предмет підозрілої активності та розгляньте тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference