Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!
CVE-2025-63307 — Eine authentifizierte Stored-Cross-Site-Scripting-Schwachstelle (XSS) in laravel-file-manager v3.3.1 und darunter ermöglicht es Angreifern mit Zugriff auf die Dateimanager-Oberfläche, beliebigen JavaScript-Code in hochgeladene oder erstellte Dateien einzuschleusen und dauerhaft zu platzieren. | Kitploit
Eine authentifizierte Stored-Cross-Site-Scripting-Schwachstelle (XSS) in laravel-file-manager v3.3.1 und darunter ermöglicht es Angreifern mit Zugriff auf die Dateimanager-Oberfläche, beliebigen JavaScript-Code in hochgeladene oder erstellte Dateien einzuschleusen und dauerhaft zu platzieren.
Teilen
CVE-2025-63307 – Authentifiziertes gespeichertes Cross-site Scripting (XSS) in laravel-file-manager v3.3.1
🧭 Übersicht
Eine Schwachstelle für authentifiziertes, gespeichertes Cross-site Scripting (XSS) in laravel-file-manager v3.3.1 und früheren Versionen ermöglicht es Angreifern mit Zugriff auf die Dateimanager-Oberfläche, beliebigen JavaScript-Code in hochgeladenen oder erstellten Dateien zu injizieren und dauerhaft zu speichern.
Durch das Hochladen einer speziell präparierten .html- oder .svg-Datei, die bösartigen JavaScript-Code enthält, oder durch das direkte Erstellen und Bearbeiten einer solchen Datei im Dateimanager können Angreifer gespeichertes XSS erreichen, das ausgeführt wird, sobald ein anderer authentifizierter Benutzer oder Administrator die Datei über die Weboberfläche anzeigt.
🧱 Betroffene Komponente
Projekt:laravel-file-manager
Komponente: Upload-, Erstellungs- und Renderfunktionalität von Dateien (z. B. FileManagerController.php)
Betroffene Version:v3.3.1 und früher
🎯 Angriffsvektoren
Authentifizieren Sie sich mit einem Konto, das über die Dateimanager-Oberfläche die Berechtigung zum Hochladen, Erstellen oder Umbenennen von Dateien besitzt.
Laden Sie eine Datei mit der Erweiterung .svg oder .html hoch oder erstellen Sie eine solche Datei, die bösartigen JavaScript-Code enthält.
Die Anwendung speichert diese Datei, ohne deren Inhalt zu validieren oder eingebettete Skripte zu bereinigen.
Wenn ein anderer Benutzer (z. B. ein Administrator oder Repository-Maintainer) die Datei in seinem Browser anzeigt oder in der Vorschau betrachtet, wird der bösartige JavaScript-Code im Kontext der Domäne der Anwendung ausgeführt.
Das Skript kann anschließend Aktionen wie Session-Hijacking, CSRF oder das Stehlen sensibler Daten aus dem Browser des Opfers durchführen.
💥 Auswirkungen
Gespeichertes XSS: Dauerhafte JavaScript-Ausführung im Ursprung der Anwendung.
Session-Hijacking und Kontoübernahme: Angreifer können Cookies stehlen oder Aktionen im Namen des Opfers ausführen.
Phishing / UI-Redressing: Injizierte Skripte können UI-Elemente fälschen oder Benutzer auf bösartige Websites umleiten.
Offenlegung sensibler Daten: Zugriff auf Informationen innerhalb der Anwendung, die für die Sitzung des Opfers zugänglich sind.
Implementieren Sie eine strenge serverseitige Validierung und Filterung des Inhaltstyps für hochgeladene Dateien.
Verhindern oder bereinigen Sie Uploads mit .html, .svg oder anderen Formaten, die aktive Inhalte enthalten können.
Stellen Sie vom Benutzer hochgeladene Dateien mit dem Header Content-Disposition: attachment oder von einer separaten, nicht ausführbaren Domäne/Subdomäne bereit.
Wenden Sie Ausgabekodierung und -bereinigung an, bevor benutzergesteuerte Inhalte im Browser gerendert werden.
🙏 Danksagungen
Entdeckt und gemeldet von: Chayawat Jeamprasertboon, Thanakorn Boontem, Sahapon Kanajanothai und Theethat Thamwasin
theethat-thamwasin/cve-2025-63307
