CVE-2025-57203

Résumé

MagicProject AI version 9.1 est affecté par une vulnérabilité de type Cross-Site Scripting (XSS) dans la fonctionnalité de génération de chatbot disponible pour les utilisateurs administrateurs authentifiés. La vulnérabilité réside dans le paramètre prompt soumis au point de terminaison /dashboard/user/generator/generate-stream via une requête POST multipart/form-data. En raison d'une désinfection insuffisante des entrées, les attaquants peuvent injecter des charges utiles JavaScript basées sur du HTML. Cette charge utile est stockée et rendue sans désinfection dans les vues ultérieures, ce qui entraîne son exécution dans les navigateurs d'autres utilisateurs lorsqu'ils accèdent au contenu affecté. Ce problème permet à un attaquant authentifié d'exécuter du JavaScript arbitraire dans le contexte d'un autre utilisateur, ce qui peut potentiellement conduire à un détournement de session, une élévation de privilèges, une exfiltration de données ou une prise de contrôle du compte administrateur. L'application ne met pas en œuvre de politique de sécurité du contenu (CSP) ni de filtrage adéquat des entrées pour empêcher de telles attaques. Un correctif devrait inclure une désinfection appropriée, un encodage de sortie et une application stricte de la CSP pour atténuer l'exploitation.

Sources

• AvTech-PoCsPoC

  PoCs pour CVE-2025-57199, CVE-2025-57200, CVE-2025-57201, CVE-2025-57202 et CVE-2025-57203