Analytical use of cookies
Уразливість у WP Project Manager: збережений XSS через завантаження SVG-файлів
Виявлено Stored XSS у WP Project Manager (до 2.6.22) через завантаження SVG. Рекомендується оновлення та обмеження доступу для безпеки сайту.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.99%
- Активно використовується
- немає в KEV
- Продукт
- wp project manager
Що відомо
Плагін WP Project Manager для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через завантаження SVG-файлів у версіях до 2.6.22 включно. Авторизовані користувачі з рівнем доступу Автор і вище можуть впроваджувати довільні скрипти, які виконуються при відкритті SVG-файлу.
Бізнес-вплив
Ця уразливість може дозволити зловмисникам впроваджувати шкідливі скрипти, що призведе до компрометації сесій користувачів, викрадення даних або інших атак на вебсайт. Власники сайтів і ІТ-оператори повинні враховувати ризики для безпеки, особливо якщо плагін використовується у середовищах з багатьма користувачами з правами автора і вище.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна WP Project Manager від розробника wedevs і застосувати їх, якщо доступні. Якщо оновлення неможливе, слід обмежити права користувачів, які можуть завантажувати SVG-файли, провести аудит логів на предмет підозрілої активності та розглянути можливість тимчасового відключення функції завантаження SVG.