CVE-2025-60880: تخزين Cross-Site Scripting (XSS) في لوحة تحكم Bagisto

توجد ثغرة تخزين XSS موثّقة في مسار إنشاء المنتجات بلوحة تحكم Bagisto 2.3.6، مما يسمح للمهاجم برفع ملف SVG معدّ يحتوي على كود JavaScript خبيث. يمكن استغلال هذه الثغرة بواسطة مستخدم إداري موثّق لتنفيذ JavaScript تعسفي في المتصفح، مما قد يؤدي إلى اختطاف الجلسة، أو سرقة البيانات، أو إجراءات غير مصرح بها.

---

نظرة عامة على الثغرة

• معرف CVE: CVE-2025-60880
• النوع: Cross Site Scripting (XSS)
• درجة CVSS: 6.9 (متوسطة)
• متجه CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:N
• البائع المتأثر: Bagisto
• المنتج المتأثر: Bagisto
• الإصدار المتأثر: v2.3.6
• المكوّن المتأثر: لوحة تحكم Bagisto (مسار إنشاء المنتجات)
• متجه الهجوم: عن بُعد
• المصادقة: تتطلب صلاحيات إدارية
• التأثير: تنفيذ كود، اختطاف جلسة، سرقة بيانات

---

إثبات المفهوم (PoC)

تُستغل الثغرة عندما يقوم مسؤول موثّق برفع ملف SVG معدّ يحتوي على JavaScript خبيث.

خطوات إعادة الإنتاج:

1. سجّل الدخول إلى لوحة تحكم Bagisto كمسؤول موثّق.
2. انتقل إلى مسار إنشاء المنتجات.
3. ارفع ملف SVG معدّ يحتوي على حمولة JavaScript.
4. يُعاد إرسال الطلب بعد تعديل حقل Content-Type.
5. يُخزَّن ملف SVG الخبيث على الخادم.
6. عند الوصول إلى رابط الملف، يُنفَّذ JavaScript في متصفح المستخدم.