CVE-2025-70849: Gespeichertes XSS in Podinfo

Zusammenfassung

Eine Sicherheitslücke (CWE-79) wurde in Podinfo, einer Webanwendung zur Demonstration von Kubernetes-Mikrodiensten, identifiziert. Die /store-Funktion ermöglicht es nicht authentifizierten Benutzern, beliebige HTML/JS-Inhalte hochzuladen, was zu gespeichertem XSS führt.

Details zur Schwachstelle

• CVE-ID: CVE-2025-70849
• Produkt: Podinfo
• Betroffener Endpunkt: /store
• Schwachstellentyp: Gespeichertes Cross-Site Scripting (XSS)
• Betroffene Versionen: <= 6.10.0

Beweis des Konzepts (PoC)

1. Senden Sie die bösartige Nutzlast:
   root@kitploit:~

   curl -X POST https://target/store -H "Content-Type: text/html" -d '<h1>CVE-2025-70849</h1>'
   

   Beispiel mit Live-Ziel: