CVE-2025-13519: XSS em SVG Map by Smjrifle

A exploração bem-sucedida desta vulnerabilidade permite que um atacante execute scripts maliciosos no contexto do navegador da vítima. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, ou até mesmo à tomada de controle do site WordPress. A ausência de validação adequada de nonce em ações AJAX como 'savedata', 'deletedata' e 'add_popup' facilita a criação de requisições forjadas que podem ser usadas para modificar as configurações do plugin, excluir dados do mapa e injetar scripts maliciosos. Um atacante pode, por exemplo, criar um link malicioso que, ao ser clicado por um administrador, executa um script que rouba suas credenciais ou instala malware.

WordPress sites utilizing the SVG Map by Smjrifle plugin, particularly those with administrative accounts that are susceptible to social engineering attacks, are at risk. Shared hosting environments where plugin updates are managed centrally are also vulnerable if the plugin hasn't been updated.

• wordpress / composer / npm:

grep -r 'admin-ajax.php\?action=save_data' /var/www/html/wp-content/plugins/svg-map-by-smjrifle/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep svg-map-by-smjrifle

• wordpress / composer / npm:

wp plugin list | grep svg-map-by-smjrifle

1. 2026-01-06Disclosure

   disclosure

1. Reservado2025-11-21
2. Publicada2026-01-06
3. Modificada2026-04-15
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin SVG Map by Smjrifle para a versão corrigida, assim que estiver disponível. Enquanto isso, considere implementar medidas de proteção adicionais. Desative temporariamente as ações AJAX vulneráveis ('savedata', 'deletedata', 'add_popup') através de um plugin de segurança ou modificando o código do plugin (com cautela). Implementar regras de Web Application Firewall (WAF) para bloquear requisições suspeitas com payloads XSS. Monitore os logs do WordPress em busca de atividades incomuns, como requisições AJAX inesperadas ou modificações nas configurações do plugin.

Instalações ativas

0

Avaliação do plugin