CVE-2025-12457
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Enable SVG, WebP, and ICO Upload dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez przesyłanie plików SVG we wszystkich wersjach do 1.1.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi plik SVG.
Ocena ryzyka
Atakujący z uprawnieniami autora może przesłać złośliwy plik SVG, który wykona skrypty w przeglądarce użytkowników odwiedzających ten plik, co może prowadzić do kradzieży sesji lub wykonania nieautoryzowanych działań.
Rekomendacja
Zaktualizuj wtyczkę Enable SVG, WebP, and ICO Upload do najnowszej wersji, która naprawia tę podatność. Rozważ ograniczenie możliwości przesyłania plików SVG do zaufanych użytkowników.
Inne podatności w Enable SVG, WebP, and ICO Upload WordPress plugin
Zobacz wszystkie- CVE-2026-110505Średnie
Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie zapobiega zmianie celu linku na URI javascript: przez elementy animacji w przesłanych plikach SVG. Może to umożliwić użytkownikom z rolą autora i wyższą obejście sanityzacji SVG i przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarkach opartych na WebKit, takich jak Safari.
- CVE-2026-110504Średnie
Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie sanityzuje przesłanych plików SVG, których zawartość nie jest wykrywana jako SVG, ale nadal są przechowywane i serwowane jako obrazy SVG. Może to umożliwić użytkownikom z rolą autora i wyższą przeprowadzenie ataków Stored Cross-Site Scripting.
Oryginalny opis (angielski, źródło NVD)
The Enable SVG, WebP, and ICO Upload plugin for WordPress is vulnerable to Stored Cross-Site Scripting via SVG File uploads in all versions up to, and including, 1.1.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses the SVG file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS