CVE:CVE-2022-4022
CNNVD:CNNVD-202211-2924
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin SVG Support 2.5版本至2.5.1版本存在跨站脚本漏洞，该漏洞源于默认为不安全设置，包含恶意javascript的文件不会被清理，经过身份验证的攻击者（具有作者级别和更高权限）上传恶意SVG文件，这些文件可以由更高权限的用户嵌入到帖子和页面中，嵌入的JavaScript会在访问图像URL时被触发，这允许攻击者在访问该URL的浏览器中执行恶意代码。
solution:Upgrade benbodhi svg_support to a higher version than 2.5.2,and avoid the version [2.5.0,2.5.2)