Analytical use of cookies
Уразливість у плагіні AMP for WP – збережений XSS через завантаження SVG-файлів
Збережений XSS у плагіні AMP for WP через SVG-файли дозволяє впроваджувати шкідливі скрипти. Рекомендується оновлення та обмеження завантажень.
- CVSS
- 6.4 MEDIUM
- EPSS
- 25.32%
- Активно використовується
- немає в KEV
- Продукт
- accelerated mobile pages
Що відомо
Плагін AMP for WP для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію SVG-файлів при завантаженні у версіях до 1.0.96.1 включно. Зловмисники з правами автора і вище можуть впроваджувати шкідливі скрипти, які виконуватимуться при доступі користувачів до цих файлів.
Бізнес-вплив
Ця уразливість дозволяє авторизованим користувачам впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити контент сайту, що негативно впливає на безпеку вебресурсу і довіру користувачів. Власники сайтів на WordPress з цим плагіном повинні врахувати ризики компрометації даних та потенційних атак на користувачів.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна AMP for WP і застосувати їх, якщо доступні. Якщо оновлення відсутні, обмежте завантаження SVG-файлів або впровадьте додаткову перевірку та санітизацію вхідних даних. Також слід переглянути журнали доступу на предмет підозрілої активності та підвищити моніторинг безпеки сайту.