| Nom du plugin | Support SVG facile |
|---|---|
| Type de vulnérabilité | Script intersite (XSS) |
| Numéro CVE | CVE-2025-12451 |
| Urgence | Faible |
| Date de publication CVE | 2026-02-18 |
| URL source | CVE-2025-12451 |
Avis de sécurité urgent : XSS stocké authentifié (Auteur) via téléchargement SVG dans Easy SVG Support (≤ 4.0)
Auteur : Expert en sécurité de Hong Kong
Date : 18 févr. 2026
Plugin affecté : Support SVG facile (WordPress)
Versions vulnérables : ≤ 4.0
Corrigé dans : 4.1
CVE : CVE-2025-12451
Gravité (impact sur le site) : Faible (CVSS ~5.9) — le contexte est important
Résumé exécutif
Easy SVG Support jusqu'à la version 4.0 ne valide pas et ne nettoie pas adéquatement les fichiers SVG téléchargés. Un utilisateur authentifié avec des privilèges d'Auteur (ou supérieurs) peut télécharger des SVG conçus contenant des scripts intégrés, des gestionnaires d'événements ou des URI javascript:. Lorsque ces SVG sont stockés et ensuite rendus dans des contextes permettant l'exécution de scripts, une condition de Cross-Site Scripting (XSS) stockée peut se produire. Mettez à jour vers Easy SVG Support 4.1 ou une version ultérieure comme solution définitive. Si une mise à jour immédiate n'est pas possible, appliquez les atténuations dans cet avis.
Que s'est-il passé ?
Le plugin a accepté et stocké des fichiers SVG sans une sanitation suffisante côté serveur. Un utilisateur authentifié ayant la capacité de télécharger des médias peut intégrer des constructions exécutables dans un SVG. Lorsque qu'un administrateur ou un autre utilisateur privilégié consulte la page ou l'élément multimédia où le SVG est rendu en ligne, le script intégré peut s'exécuter dans le navigateur de cet utilisateur, effectuant potentiellement des actions dans le contexte de sa session.
- Vecteur d'attaque : Téléchargement authentifié d'un fichier SVG conçu.
- Privilège requis : Auteur (les auteurs peuvent télécharger des médias par défaut sur de nombreux sites WordPress).
- Type d'exploitation : XSS stocké dans le contenu du site livré à d'autres utilisateurs (y compris les administrateurs).
- Corrigé dans : Support SVG facile 4.1.
- Indicateurs de détection : Les pièces jointes SVG contenant
