CVE-2025-70849 : XSS stocké dans Podinfo

Résumé

Une vulnérabilité de sécurité (CWE-79) a été identifiée dans Podinfo, une application web pour démontrer les microservices Kubernetes. La fonctionnalité /store permet à des utilisateurs non authentifiés de télécharger du contenu HTML/JS arbitraire, conduisant à un XSS stocké.

Détails de la vulnérabilité

• CVE ID: CVE-2025-70849
• Product: Podinfo
• Endpoint affecté : /store
• Type de vulnérabilité : Cross-Site Scripting stocké (XSS)
• Versions affectées : <= 6.10.0

Preuve de concept (PoC)

1. Envoyer la charge utile malveillante :
   root@kitploit:~

   curl -X POST https://target/store -H "Content-Type: text/html" -d '<h1>CVE-2025-70849</h1>'
   

   exemple avec cible réelle :
   root@kitploit:~