Уразливість Stored XSS у плагіні Relogo для WordPress через завантаження SVG-файлів

Що відомо

Плагін Relogo для WordPress до версії 0.4.2 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію SVG-файлів. Авторизовані користувачі з рівнем доступу Автор і вище можуть вставляти шкідливі скрипти, які виконуються при перегляді SVG.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з авторизованим доступом впроваджувати шкідливі скрипти, що можуть викликати викрадення сесій, зміну контенту або інші атаки на користувачів сайту. Власники сайтів на WordPress з плагіном Relogo повинні враховувати ризики компрометації безпеки та репутації через потенційні атаки XSS.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Relogo та застосувати їх, якщо доступні. Якщо оновлення відсутні, обмежте завантаження SVG-файлів або впровадьте додаткові механізми санітизації. Перегляньте журнали доступу на предмет підозрілої активності та підвищіть моніторинг безпеки для виявлення потенційних атак.

Джерела

• NVD
• Reference
• Reference