Fique de olho
Enable SVG, WebP, and ICO Upload · plugin de envio de SVG e ícones
Vulnerável: antes da 1.1.6Seguro: 1.1.6 ou superior
Quem tem conta de Autor pode enviar uma imagem SVG que roda código no navegador de quem a abre no Safari, inclusive de administradores.
Você mesmo
- Atualizar o Enable SVG, WebP, and ICO Upload para a 1.1.6 ou mais recente.
- Revisar quem tem conta de Autor ou superior em Usuários.
Seu dev ou hospedagem
- Procurar SVGs em wp-content/uploads com , ou href="javascript:".
- Servir SVGs com Content-Security-Policy restritiva ou Content-Disposition: attachment.
Detalhes técnicos: Em versões anteriores à 1.1.6, a sanitização de SVG do plugin não impede que elementos de animação apontem links para URIs javascript:. Usuários com papel de Autor ou superior podem enviar um SVG que executa script (XSS armazenado) em navegadores baseados em WebKit, como o Safari, exigindo interação da vítima. CVSS 6.8 (CISA-ADP); CNA WPScan; corrigida na 1.1.6; sem relato de exploração ativa.
Dados técnicos
CVE-2026-110505 · CVSS 6,8 · Fonte: WPScan (via OffSeq Radar)