Уразливість Stored XSS у плагіні Smart Icons For WordPress через завантаження SVG-файлів

Що відомо

Плагін Smart Icons For WordPress до версії 1.0.4 містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію SVG-файлів. Атакуючі з рівнем доступу редактора і вище можуть впроваджувати шкідливі скрипти, які виконуються при відкритті SVG-файлів користувачами.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами редактора впроваджувати довготривалі шкідливі скрипти на сайті, що може призвести до компрометації сесій користувачів, викрадення даних або поширення шкідливого коду. Для власників веб-інфраструктури це підвищує ризик порушення безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Smart Icons For WordPress і встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до рівня нижче редактора, ретельно контролювати завантаження SVG-файлів, переглянути журнали безпеки на предмет підозрілої активності та пріоритезувати заходи з мінімізації ризиків.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference