CVE-2024-52794 – Cross-Site Scripting (XSS) stocké dans Discourse

Résumé

J'ai découvert une vulnérabilité de cross-site scripting (XSS) stocké dans Discourse, une plateforme de forum open-source. La vulnérabilité permet à un attaquant d'exécuter du JavaScript arbitraire dans le navigateur de la victime en injectant une charge utile malveillante dans le nom de fichier d'une image téléchargée. Cela affecte plusieurs vecteurs d'interaction utilisateur, y compris les sujets publics, les commentaires et les messages privés.

Identifiant CVE

CVE : CVE-2024-52794
Identifiant de l'avis : GHSA-m3v4-v2rp-hfm9
Découvert par : Mohand00
Signalé via : Hackerone
Date du signalement : 18 novembre 2024

Détails techniques

Lors du téléchargement d'une image, le nom de fichier est affiché sans échappement approprié dans le frontend. Si le nom de fichier inclut une charge utile JavaScript, par exemple :

<script>alert(document.domain)</script>

...elle sera exécutée lorsqu'un utilisateur cliquera sur l'image. Cela s'applique à :

Sujets
Commentaires
Messages directs

La logique vulnérable n'a pas réussi à encoder ou supprimer les balises script des attributs alt des images ou du balisage environnant.

Impact

Exécution de JavaScript arbitraire dans le contexte de la victime
Détournement complet de session (via document.cookie)
Compromission du compte
Fonctionne sur plusieurs entrées utilisateur (XSS persistant)

Versions affectées

Canal	Versions concernées
Stable	≤ 3.3.2
Beta	≤ 3.4.0.beta3
Tests-passed	≤ 3.4.0.beta3

Versions corrigées

Canal	Version corrigée
Stable	≥ 3.3.3
Beta	≥ 3.4.0.beta4
Tests-passed	≥ 3.4.0.beta4

Le problème a été résolu en échappant correctement les noms de fichiers fournis par l'utilisateur et en échappant tout contenu dynamique dans les composants de rendu d'image.

Chronologie de divulgation

Date	Événement
18 nov. 2024	Vulnérabilité signalée via Hackerone
19 déc. 2024	CVE attribué : CVE-2024-52794
19 déc. 2024	Avis public publié par Discourse

CVE-2024-52794-Discourse-Stored-XSS

Populaires