独家 Divi – Divi 预加载器、Divi 模块和额外主题 <= 1.4 - 通过 SVG 文件上传进行身份验证 (Author+) 存储跨站点脚本 (CVE-2024-9386)
CVE编号
CVE-2024-9386
利用情况
暂无
补丁情况
N/A
披露时间
2024-11-16
漏洞描述
Divi独家插件Divi Preloader、Divi模块以及WordPress额外主题插件存在存储型跨站脚本漏洞（Stored Cross-Site Scripting），该漏洞存在于所有版本至包括版本1.4在内，由于输入清理和输出转义不足，导致可以通过上传SVG文件触发漏洞攻击。这使得拥有作者级别及以上访问权限的认证攻击者能够在页面中注入任意网页脚本，每当用户访问SVG文件时，脚本就会执行。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
文章评论