PT-2024-16759 · WordPress · Svg Block

Francesco Carlucci

·

Publicado

2024-11-19

·

Atualizado

2024-11-22

·

CVE-2024-11098

CVSS v3.1

5.5

Média

VetorAV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Plugin SVG Block para versões do WordPress até a 1.1.24, inclusive
Descrição
A vulnerabilidade está relacionada a Cross-Site Scripting (XSS) armazenado por meio de uploads de arquivos SVG via API REST, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com acesso de nível de administrador ou superior injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar o arquivo SVG.
Recomendações
Para o plugin SVG Block para versões do WordPress até a 1.1.24, inclusive, atualize para a versão mais recente disponível para proteger seu site e mitigar possíveis explorações. Como solução temporária, considere restringir o acesso aos uploads de arquivos SVG via API REST até que um patch esteja disponível.

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-11098

Produtos afetados

Svg Block