तत्काल सुरक्षा सलाह: आसान SVG समर्थन (≤ 4.0) में SVG अपलोड के माध्यम से प्रमाणित (लेखक) संग्रहीत XSS

लेखक: हांगकांग सुरक्षा विशेषज्ञ

तारीख: 18 फरवरी 2026

प्रभावित प्लगइन: आसान SVG समर्थन (WordPress)

कमजोर संस्करण: ≤ 4.0

में ठीक किया गया: 4.1

CVE: CVE-2025-12451

गंभीरता (साइट प्रभाव): कम (CVSS ~5.9) — संदर्भ महत्वपूर्ण है

कार्यकारी सारांश

आसान SVG समर्थन संस्करण 4.0 तक अपलोड किए गए SVG फ़ाइलों को उचित रूप से मान्य और स्वच्छ करने में विफल रहता है। लेखक (या उच्चतर) विशेषाधिकार वाला एक प्रमाणित उपयोगकर्ता एम्बेडेड स्क्रिप्ट, इवेंट हैंडलर, या javascript: URI वाले तैयार किए गए SVG अपलोड कर सकता है। जब ऐसे SVG संग्रहीत होते हैं और बाद में उन संदर्भों में प्रस्तुत किए जाते हैं जो स्क्रिप्ट निष्पादन की अनुमति देते हैं, तो एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) स्थिति उत्पन्न हो सकती है। निश्चित समाधान के रूप में आसान SVG समर्थन 4.1 या बाद के संस्करण में अपडेट करें। यदि तत्काल अपडेट संभव नहीं है, तो इस सलाह में उपाय लागू करें।.

क्या हुआ?

प्लगइन ने पर्याप्त सर्वर-साइड स्वच्छता के बिना SVG फ़ाइलों को स्वीकार किया और संग्रहीत किया। एक प्रामाणिक उपयोगकर्ता जिसे मीडिया अपलोड करने की क्षमता है, SVG में निष्पादन योग्य संरचनाएँ एम्बेड कर सकता है। जब एक व्यवस्थापक या अन्य विशेषाधिकार प्राप्त उपयोगकर्ता उस पृष्ठ या मीडिया आइटम को देखता है जहाँ SVG इनलाइन रेंडर किया गया है, तो एम्बेडेड स्क्रिप्ट उस उपयोगकर्ता के ब्राउज़र में निष्पादित हो सकती है, संभावित रूप से उनके सत्र के संदर्भ में क्रियाएँ कर सकती है।.

• हमले का वेक्टर: तैयार किए गए SVG फ़ाइल का प्रमाणित अपलोड।.
• आवश्यक विशेषाधिकार: लेखक (लेखक डिफ़ॉल्ट रूप से कई WordPress साइटों पर मीडिया अपलोड कर सकते हैं)।.
• शोषण प्रकार: अन्य उपयोगकर्ताओं (व्यवस्थापकों सहित) को वितरित साइट सामग्री में संग्रहीत XSS।.
• में ठीक किया गया: आसान SVG समर्थन 4.1।.
• पहचान संकेत: SVG अटैचमेंट जिसमें
  मेरा ऑर्डर देखें

  0

  उप-योग

  चेकआउट पर कर और शिपिंग की गणना की गई

  चेकआउट