Esto ocurre porque el archivo SVG se almacena y se sirve tal cual, permitiendo que etiquetas <script> incrustadas, manejadores de eventos (por ejemplo, onload, onclick) o elementos <foreignObject> se ejecuten en el contexto de origen de la aplicación.

🧪 Pasos para Reproducir

1. Inicie sesión en la aplicación integrada con CKFinder v1.4.3.
2. Navegue hasta la función Carga de Archivos.
3. Suba el siguiente archivo SVG malicioso:
4. Después de la carga, acceda o previsualice el archivo desde el administrador de archivos de CKFinder o cualquier vista vinculada.
5. Observe la ejecución de JavaScript en el navegador.

🎯 Impacto / Riesgos

• Ejecución de JavaScript arbitrario en el navegador de la víctima.
• Robo de tokens de sesión o información sensible.
• Manipulación del DOM o redirección a sitios web maliciosos.
• Posible movimiento lateral dentro de interfaces de administración o gestión.

🛡️ Remedio

• Sanitizar y validar los archivos SVG subidos antes de almacenarlos o renderizarlos.
• Deshabilitar las cargas de SVG si no son necesarias.
• Si son necesarias las cargas de SVG:
  • Use un sanitizador seguro de SVG (por ejemplo, DOMPurify, SVG-Sanitizer) antes de renderizar.
  • Sirva los SVG subidos con cabeceras de respuesta seguras:
    root@kitploit:~

    Content-Type: image/svg+xml; charset=UTF-8
    Content-Disposition: attachment
    X-Content-Type-Options: nosniff
    

  • Aloje los archivos subidos por el usuario en un dominio separado o CDN para imponer aislamiento de origen.
• Actualice a la última versión de CKFinder, ya que las versiones más recientes pueden incluir una sanitización de archivos y un manejo de seguridad mejorados.

Prueba de Concepto

👤 Descubridor

Shubham Ghadge
Investigador de Seguridad / Consultor de Seguridad en Aplicaciones