CVE-2024-4487

Plugin Blocksy Companion para o WordPress, versões até a 2.0.45, inclusive

O problema está relacionado a um ataque de Cross-Site Scripting (XSS) armazenado por meio de uploads de SVG, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com permissões de nível de colaborador ou superiores injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada.

Atualize para uma versão corrigida imediatamente para resolver o problema. Como solução temporária, considere restringir uploads de SVG ou desativar a funcionalidade vulnerável até que uma correção esteja disponível. Certifique-se de que apenas usuários confiáveis tenham permissões de nível de colaborador ou superiores para minimizar o risco de exploração.