Уразливість Stored XSS у плагіні Mynx Page Builder для WordPress через завантаження SVG-файлів

Що відомо

Плагін Mynx Page Builder для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію SVG-файлів при завантаженні у версіях до 0.27.8 включно. Авторизовані користувачі з рівнем доступу Автор і вище можуть впроваджувати шкідливі скрипти, які виконуються при відкритті SVG-файлу.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з авторизованим доступом впроваджувати шкідливі скрипти, що можуть викликати виконання небажаного коду у браузерах користувачів. Це підвищує ризик компрометації облікових записів, викрадення сесій або інших атак, що впливають на безпеку вебресурсу. Власники сайтів на WordPress з цим плагіном повинні врахувати потенційний ризик для користувачів і репутації бізнесу.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна Mynx Page Builder і застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити завантаження SVG-файлів або права користувачів з рівнем Автор і вище, провести аудит логів на предмет підозрілої активності та розглянути можливість тимчасового відключення плагіна до виправлення проблеми.

Джерела

• NVD
• Reference
• Reference