| 插件名稱 | 簡易的 SVG 支援 |
|---|---|
| 漏洞類型 | 跨站腳本攻擊 (XSS) |
| CVE 編號 | CVE-2025-12451 |
| 緊急程度 | 低 |
| CVE 發布日期 | 2026-02-18 |
| 來源 URL | CVE-2025-12451 |
緊急安全公告：通過SVG上傳在Easy SVG Support中認證（作者）存儲的XSS（≤ 4.0）
作者： 香港安全專家
日期： 2026年2月18日
受影響的插件： Easy SVG Support（WordPress）
易受攻擊的版本： ≤ 4.0
修復於： 4.1
CVE： CVE-2025-12451
嚴重性（網站影響）： 低（CVSS ~5.9）— 上下文很重要
執行摘要
Easy SVG Support至4.0版本未能充分驗證和清理上傳的SVG文件。擁有作者（或更高）權限的認證用戶可以上傳包含嵌入腳本、事件處理程序或javascript: URI的精心製作的SVG。當這些SVG被存儲並在允許腳本執行的上下文中渲染時，可能會發生存儲的跨站腳本攻擊（XSS）條件。請更新至Easy SVG Support 4.1或更高版本作為最終修復。如果無法立即更新，請應用本公告中的緩解措施。.
發生了什麼？
該插件接受並儲存SVG文件，但未進行足夠的伺服器端清理。具有上傳媒體能力的經過身份驗證的用戶可以在SVG中嵌入可執行的構造。當管理員或其他特權用戶查看顯示SVG的頁面或媒體項目時，嵌入的腳本可以在該用戶的瀏覽器中執行，可能在其會話的上下文中執行操作。.
