CVE-2024-10222

المكوّن الإضافي SVG Support لـ WordPress، الإصدارات حتى الإصدار 2.5.10 بما في ذلك

تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن عبر تحميل ملفات SVG، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المؤلف» أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى ملف SVG. بشكل افتراضي، لا يمكن استغلال هذه الثغرة إلا من قبل المسؤولين، ولكن إمكانية تحميل ملفات SVG يمكن توسيعها لتشمل المؤلفين.

بالنسبة للمكوّن الإضافي SVG Support لـ WordPress، للإصدارات حتى الإصدار 2.5.10 بما في ذلك، قم بالتحديث إلى إصدار أعلى من 2.5.10 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد إمكانية تحميل ملفات SVG على المستخدمين الموثوق بهم فقط، مثل المسؤولين، لتقليل مخاطر الاستغلال إلى أدنى حد. بالإضافة إلى ذلك، قد يساعد تعطيل ميزة تحميل ملفات SVG حتى يتوفر تصحيح في الحد من المخاطر.