CVE-2024-9426丨Aqua SVG Sprite <= 3.0.14 - 通过 SVG 文件上传进行身份验证 (Author+) 存储跨站点脚本

2024年11月14日 188点热度 0人点赞 0条评论

Aqua SVG Sprite <= 3.0.14 - 通过 SVG 文件上传进行身份验证 (Author+) 存储跨站点脚本 (CVE-2024-9426)

CVE编号

CVE-2024-9426

利用情况

暂无

补丁情况

N/A

披露时间

2024-11-13

漏洞描述

WordPress中的Aqua SVG Sprite插件存在存储型跨站脚本漏洞（Stored Cross-Site Scripting），该漏洞存在于所有版本，包括至3.0.14版本。原因是输入清理和输出转义不足够充分，导致授权攻击者能够在页面上注入任意Web脚本，每当用户访问SVG文件时，这些脚本就会执行。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://wordpress.org/plugins/aqua-svg-sprite/#developers
https://www.wordfence.com/threat-intel/vulnerabilities/id/fc4c1809-d79f-4505-...

CVE-2024-9426丨Aqua SVG Sprite <= 3.0.14 - 通过 SVG 文件上传进行身份验证 (Author+) 存储跨站点脚本

Aqua SVG Sprite <= 3.0.14 - 通过 SVG 文件上传进行身份验证 (Author+) 存储跨站点脚本 (CVE-2024-9426)

漏洞描述

解决建议

参考链接

文章评论