CVE-2025-57203

Resumen

MagicProject AI versión 9.1 se ve afectada por una vulnerabilidad de Cross-Site Scripting (XSS) dentro de la función de generación de chatbot disponible para usuarios administradores autenticados. La vulnerabilidad reside en el parámetro prompt enviado al endpoint /dashboard/user/generator/generate-stream mediante una solicitud POST multipart/form-data. Debido a una sanitización insuficiente de las entradas, los atacantes pueden inyectar payloads de JavaScript basados en HTML. Este payload se almacena y se renderiza sin sanitizar en vistas posteriores, lo que provoca su ejecución en los navegadores de otros usuarios cuando acceden al contenido afectado. Este problema permite a un atacante autenticado ejecutar JavaScript arbitrario en el contexto de otro usuario, lo que potencialmente puede conducir al secuestro de sesión, escalada de privilegios, exfiltración de datos o la toma de control de cuentas administrativas. La aplicación no implementa una Política de Seguridad de Contenido (CSP) ni un filtrado de entradas adecuado para prevenir tales ataques. Una corrección debería incluir una sanitización adecuada, codificación de salida y una aplicación estricta de CSP para mitigar la explotación.

• AvTech-PoCsPoC

  PoCs para CVE-2025-57199, CVE-2025-57200, CVE-2025-57201, CVE-2025-57202 y CVE-2025-57203