Уразливість Stored XSS у плагіні SVG Complete для WordPress

Що відомо

Плагін SVG Complete для WordPress має уразливість Stored Cross-Site Scripting (XSS) через завантаження SVG-файлів у версіях до 1.0.2 включно. Авторизовані користувачі з рівнем доступу Автор і вище можуть вставляти шкідливі скрипти, які виконуються при перегляді SVG-файлів.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами автора або вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або змінити контент сторінок. Це підвищує ризик компрометації сайту та довіри користувачів, особливо для сайтів з багатьма користувачами та редакторами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна SVG Complete від розробника та застосувати їх. Якщо оновлення недоступні, обмежте права користувачів до мінімально необхідних, ретельно контролюйте завантаження SVG-файлів, переглядайте логи на предмет підозрілої активності та розгляньте тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference