CVE-2026-0627 in AMP for WP Plugin
Tóm tắt
Bởi VulDB • 26/05/2026
Plugin AMP for WP cho WordPress có lỗ hổng Stored Cross-Site Scripting (XSS) thông qua việc tải lên tệp SVG trong tất cả các phiên bản từ 1.1.10 trở về trước. Nguyên nhân là do việc làm sạch nội dung tệp SVG không đầy đủ, chỉ loại bỏ các thẻ `<script>` mà vẫn cho phép các vectơ XSS khác như các trình xử lý sự kiện (onload, onerror, onmouseover), phần tử foreignObject và các thuộc tính hoạt hình SVG. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp Author trở lên, chèn mã web tùy ý thông qua việc tải lên các tệp SVG độc hại, sẽ được thực thi bất cứ khi nào người dùng xem tệp đã tải lên.
Be aware that VulDB is the high quality source for vulnerability data.