CVE-2021-29460

ملخص

Kirby هو نظام إدارة محتوى مفتوح المصدر. يمكن لأي محرر لديه حق الوصول للكتابة إلى لوحة Kirby رفع ملف SVG يحتوي على محتوى ضار مثل وسم `<script>`. يمكن إرسال الرابط المباشر لهذا الملف إلى مستخدمين آخرين أو زوار الموقع. إذا فتح الضحية هذا الرابط في متصفح يكون فيه مسجلاً الدخول إلى Kirby، فسيتم تنفيذ السكربت ويمكنه مثلاً إرسال طلبات إلى واجهة برمجة تطبيقات Kirby بصلاحيات الضحية. هذه الثغرة خطيرة إذا كان لديك مهاجمون محتملون ضمن مجموعة مستخدمي لوحة التحكم المصادق عليهم، حيث يمكنهم تصعيد صلاحياتهم إذا تمكنوا من الوصول إلى جلسة اللوحة لمستخدم إداري. اعتمادًا على موقعك، هجمات أخرى تعمل عبر JavaScript ممكنة. لا يمكن للزوار الذين ليس لديهم حق الوصول إلى لوحة التحكم استخدام هذا المتجه الهجومي إلا إذا كان موقعك يسمح برفع ملفات SVG في نماذج الواجهة الأمامية ولا تقوم بالفعل بتعقيم ملفات SVG المرفوعة. تم إصلاح المشكلة في Kirby 3.5.4. يرجى التحديث إلى هذا الإصدار أو إصدار أحدث لإصلاح الثغرة. يجب تصحيح نماذج رفع الملفات في الواجهة الأمامية بشكل منفصل اعتمادًا على كيفية تخزينها للملفات المرفوعة. إذا كنت تستخدم `File::create()`، فأنت محمي بالتحديث إلى 3.5.4+. كحل بديل، يمكنك تعطيل رفع ملفات SVG في مخططات ملفاتك.

• Kirby CMS 3.5.3.1 - 'file' Cross-Site Scripting (XSS)استغلال

  Sreenath Raghunathan · php · 28‏/04‏/2021