PT-2026-130641

CVE-2026-110505

Publicado

2026-10-27

Atualizado

2026-10-29

Descrição por

CVSS 3.1

6.8

Média

MétricasAV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Enable SVG, WebP, and ICO Upload versões anteriores a 1.1.6

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que usuários autenticados com a função de autor ou superior realizem ataques de Stored Cross-Site Scripting. Isso ocorre porque o plugin não impede que elementos de animação em arquivos SVG carregados alterem o alvo de um link para uma URI javascript:, ignorando a sanitização. Os scripts web arbitrários injetados são executados em navegadores baseados em WebKit, como o Safari, sempre que um usuário acessa a página afetada.

Recomendações Atualize o plugin para a versão 1.1.6 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Pierre Rudloff

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados