CVE-2024-8107

Nome do software vulnerável e versões afetadas:

Plugin Slider Revolution para o WordPress, versões até a 6.7.18, inclusive

Descrição:

O problema está relacionado a Cross-Site Scripting armazenado por meio de uploads de arquivos SVG, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com acesso de nível de autor ou superior injetem scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar o arquivo SVG. Por padrão, isso só pode ser explorado por administradores, mas a capacidade de usar e configurar o Slider Revolution pode ser estendida a autores.

Recomendações:

Para versões até e incluindo a 6.7.18, atualize para uma versão posterior à 6.7.18 para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso de upload de arquivos SVG para minimizar o risco de exploração. Além disso, restrinja a capacidade de usar e configurar o Slider Revolution apenas a administradores confiáveis.