Stored XSS durch unsicheres Markdown-Rendering in Kotaemon

Zusammenfassung

Kotaemon ist ein Open-Source-Dokument-QA-System auf Basis von RAG (Retrieval-Augmented Generation), das eine Weboberfläche zum Abfragen hochgeladener Dokumente wie PDF-, Word- und Excel-Dateien bereitstellt.

In der Dokument-Rendering-Pipeline von Kotaemon besteht eine Schwachstelle für gespeichertes Cross-Site-Scripting (XSS). Benutzergesteuerter Inhalt wird von einem LLM verarbeitet und nach der Markdown-zu-HTML-Konvertierung ohne ordnungsgemäße Bereinigung in der Weboberfläche gerendert, sodass vom Angreifer bereitgestellte HTML-Elemente dauerhaft in die Seite injiziert werden können.

Wenn ein Dokument hochgeladen wird, löst das System automatisch eine Zusammenfassungsanfrage (z. B. „summary this file") als Teil des normalen Verarbeitungsablaufs aus. Infolgedessen wird jedes hochgeladene Dokument implizit durch die Markdown-Parsing- und Rendering-Pipeline geleitet, wodurch die Schwachstelle allein durch das Hochladen eines Dokuments ausgenutzt werden kann, ohne dass eine explizite Benutzerinteraktion erforderlich ist.

---

Betroffene Versionen

Die folgenden Kotaemon-Versionen sind nachweislich betroffen:

• Version <= 0.11.0

---

Betroffene Komponente

• Funktion zum Rendern/Zusammenfassen von Dokumenten
• Logik zur Markdown-zu-HTML-Konvertierung

Betroffener Code

kotaemon/blob/main/libs/ktem/ktem/utils/render.py

@staticmethod
def table(text: str) -> str:
    """Render table from markdown format into HTML"""
    text = replace_mardown_header(text)
    return markdown.markdown(
        text,
        extensions=[
            "markdown.extensions.tables",
            "markdown.extensions.fenced_code",
        ],
    )

---

Grundursache

Die Anwendung verlässt sich auf die Funktion markdown.markdown(), um von einem LLM erzeugte Markdown-Inhalte in HTML zu konvertieren. Der konvertierte HTML-Output wird jedoch ohne HTML-Bereinigung oder Ausgabe-Escaping direkt im Browser gerendert.

Dadurch wird Markdown-Syntax, die rohe HTML-Elemente erzeugt – insbesondere die Bildsyntax ![]() – in ausführbares HTML wie ``-Tags konvertiert und im Konversationsverlauf gespeichert.

---

Proof of Concept (PoC)

Payload

"summary" means "![](https://example.com)"

Ausnutzungsschritte

1. Laden Sie ein Dokument hoch, das den obigen Payload enthält.
2. Wählen Sie die Option „Search All".
3. Das System sendet automatisch eine Zusammenfassungsanfrage für das hochgeladene Dokument.
4. Die vom LLM erzeugte Antwort enthält das schädliche Markdown.
5. Das Markdown wird in ein HTML-``-Tag konvertiert und ohne Filterung gerendert.

---

Beobachtetes Verhalten

• Die injizierte Markdown-Bildsyntax wird in ein HTML-``-Tag konvertiert.
• Beim Rendern sendet der Browser automatisch eine Anfrage an die vom Angreifer kontrollierte URL.
• Das injizierte HTML bleibt im Konversationsverlauf erhalten.

---

Auswirkungen

Die Möglichkeit, persistente HTML-Elemente zu injizieren, erlaubt es Angreifern:

• Nicht autorisierte GET-Anfragen auszulösen (z. B. /logout)
• CSRF-ähnliche Effekte zu verursachen
• Gerenderte UI-Inhalte zu manipulieren

Die Ausnutzung erfordert lediglich das Hochladen eines Dokuments und erfolgt automatisch während der Zusammenfassung, ohne zusätzliche Benutzerinteraktion.

Unbereinigtes HTML-Rendering kann je nach Frontend-Rendering-Kontext die Ausführung von JavaScript über Event-Handler ermöglichen.

---

Nachweis

---

Einstufung der Schwachstelle

• Typ: Gespeichertes Cross-Site-Scripting (XSS)
• Vektor: Unsicheres Markdown-zu-HTML-Rendering
• Persistenz: Ja
• Benutzerinteraktion erforderlich: Nein

---

Empfohlene Korrekturen

1. Bereinigen Sie den HTML-Output nach der Markdown-zu-HTML-Konvertierung.
2. Vermeiden Sie zustandsändernde Aktionen über GET-Anfragen.
3. Behandeln Sie RAG-Eingaben und LLM-Outputs als nicht vertrauenswürdige Daten.

---

Autor

Dieser Bericht wurde von minnggyuu erstellt. (Team 404 Not Found, WhiteHat School 3rd Cohort, Südkorea)

---

Kontakt

Email: [email protected]
GitHub: https://github.com/minnggyuu