CVE-2021-29460

Zusammenfassung

Kirby ist ein Open-Source-CMS. Ein Redakteur mit Schreibzugriff auf das Kirby-Panel kann eine SVG-Datei hochladen, die schädlichen Inhalt wie `<script>`-Tags enthält. Der direkte Link zu dieser Datei kann an andere Benutzer oder Besucher der Website gesendet werden. Wenn das Opfer diesen Link in einem Browser öffnet, in dem es bei Kirby angemeldet ist, wird das Skript ausgeführt und kann beispielsweise Anfragen an die Kirby-API mit den Berechtigungen des Opfers auslösen. Diese Sicherheitslücke ist kritisch, wenn Sie mögliche Angreifer in Ihrer Gruppe authentifizierter Panel-Benutzer haben, da diese ihre Berechtigungen erweitern können, wenn sie Zugriff auf die Panel-Sitzung eines Administrators erhalten. Abhängig von Ihrer Website sind andere JavaScript-gestützte Angriffe möglich. Besucher ohne Panel-Zugriff können diesen Angriffsvektor nur nutzen, wenn Ihre Website das Hochladen von SVG-Dateien in Frontend-Formularen erlaubt und Sie hochgeladene SVG-Dateien nicht bereits bereinigen. Das Problem wurde in Kirby 3.5.4 behoben. Bitte aktualisieren Sie auf diese oder eine neuere Version, um die Sicherheitslücke zu beheben. Frontend-Upload-Formulare müssen je nachdem, wie sie die hochgeladenen Dateien speichern, separat gepatcht werden. Wenn Sie `File::create()` verwenden, sind Sie durch die Aktualisierung auf 3.5.4+ geschützt. Als Workaround können Sie das Hochladen von SVG-Dateien in Ihren Datei-Blueprints deaktivieren.

• Kirby CMS 3.5.3.1 - 'file' Cross-Site Scripting (XSS)Exploit

  Sreenath Raghunathan · php · 28.04.2021