CVE-2026-110504
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie sanityzuje przesłanych plików SVG, których zawartość nie jest wykrywana jako SVG, ale nadal są przechowywane i serwowane jako obrazy SVG. Może to umożliwić użytkownikom z rolą autora i wyższą przeprowadzenie ataków Stored Cross-Site Scripting.
Ocena ryzyka
Atakujący z uprawnieniami autora może wstrzyknąć złośliwy kod JavaScript poprzez plik SVG, który wykona się w przeglądarce ofiary, potencjalnie prowadząc do kradzieży sesji lub innych działań. Ryzyko dotyczy witryn z wtyczką i użytkownikami z rolą autora.
Rekomendacja
Zaktualizuj wtyczkę Enable SVG, WebP, and ICO Upload do wersji 1.1.6 lub nowszej. Rozważ ograniczenie możliwości przesyłania SVG dla użytkowników z rolą autora.
Inne podatności w Enable SVG, WebP, and ICO Upload WordPress plugin
Zobacz wszystkie- CVE-2026-110505Średnie
Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie zapobiega zmianie celu linku na URI javascript: przez elementy animacji w przesłanych plikach SVG. Może to umożliwić użytkownikom z rolą autora i wyższą obejście sanityzacji SVG i przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarkach opartych na WebKit, takich jak Safari.
- CVE-2025-12457Średnie
Wtyczka Enable SVG, WebP, and ICO Upload dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez przesyłanie plików SVG we wszystkich wersjach do 1.1.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi plik SVG.
Oryginalny opis (angielski, źródło NVD)
The Enable SVG, WebP, and ICO Upload WordPress plugin before 1.1.6 does not sanitize uploaded SVG files whose content is not detected as SVG, while still storing and serving them as SVG images, which could allow users with the author role and above to perform Stored Cross-Site Scripting attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS