CVE-2026-110505
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie zapobiega zmianie celu linku na URI javascript: przez elementy animacji w przesłanych plikach SVG. Może to umożliwić użytkownikom z rolą autora i wyższą obejście sanityzacji SVG i przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarkach opartych na WebKit, takich jak Safari.
Ocena ryzyka
Atakujący z uprawnieniami autora może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce ofiary, potencjalnie prowadząc do kradzieży sesji lub innych działań. Ryzyko dotyczy użytkowników przeglądarek WebKit.
Rekomendacja
Zaktualizuj wtyczkę Enable SVG, WebP, and ICO Upload do wersji 1.1.6 lub nowszej. Rozważ ograniczenie możliwości przesyłania SVG dla użytkowników z rolą autora.
Inne podatności w Enable SVG, WebP, and ICO Upload WordPress plugin
Zobacz wszystkie- CVE-2026-110504Średnie
Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie sanityzuje przesłanych plików SVG, których zawartość nie jest wykrywana jako SVG, ale nadal są przechowywane i serwowane jako obrazy SVG. Może to umożliwić użytkownikom z rolą autora i wyższą przeprowadzenie ataków Stored Cross-Site Scripting.
- CVE-2025-12457Średnie
Wtyczka Enable SVG, WebP, and ICO Upload dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez przesyłanie plików SVG we wszystkich wersjach do 1.1.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi plik SVG.
Oryginalny opis (angielski, źródło NVD)
The Enable SVG, WebP, and ICO Upload WordPress plugin before 1.1.6 does not prevent animation elements in uploaded SVG files from changing a link's target to a javascript: URI, which could allow users with the author role and above to bypass its SVG sanitization and perform Stored Cross-Site Scripting attacks that execute in WebKit-based browsers such as Safari.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS