rivek619/cve-2025-65675Eine Stored Cross site scripting (XSS) Sicherheitslücke in Classroomio LMS 0.1.13 ermöglicht authentifizierten Angreifern, beliebigen Code über manipulierte SVG-Profilbilder auszuführen. Entdeckt von - Rivek Raj Tamang (RivuDon), Sikkim, Indien.
Stored Cross site scripting (XSS) Schwachstelle in Classroomio LMS 0.1.13 erlaubt authentifizierten Angreifern, beliebigen Code über manipulierte SVG-Profilbilder auszuführen. Entdeckt von - Rivek Raj Tamang (RivuDon), Sikkim, Indien.
Betroffenes Produkt: ClassroomIO
Stored Cross Site Scripting
Eine Stored Cross-Site Scripting (XSS) Schwachstelle existiert in Classroomio LMS Version 0.1.13, bei der die Anwendung SVG-Profilbild-Uploads nicht bereinigt. Ein authentifizierter Angreifer kann eine bösartige SVG-Datei mit eingebettetem JavaScript hochladen, die dann gespeichert und ausgeführt wird, sobald das Profilbild angezeigt wird. Da die Nutzlast von einer vertrauenswürdigen Domain ausgeführt wird, kann dieser Fehler zu Session-Hijacking, Kontoübernahme, Umleitungsangriffen oder weiterer Ausnutzung innerhalb der Plattform führen.
Melden Sie sich an und gehen Sie zu den Profileinstellungen
Klicken Sie auf Bild hochladen
Wählen Sie die xss svg Datei aus und klicken Sie auf Hochladen
Warten Sie, bis es gespeichert ist
Klicken Sie mit der rechten Maustaste auf das Profilbild und öffnen Sie es in einem neuen Tab
Beachten Sie das ausgelöste gespeicherte XSS.
Diese Schwachstelle wurde entdeckt und verantwortungsvoll gemeldet von:
Rivek Raj Tamang (RivuDon) aus Sikkim, Indien
