CVE-2025-65790 - XSS SVG réfléchi dans FuguHub 8.1

Cross-Site Scripting (XSS) réfléchi via le rendu SVG dans FuguHub

https://www.cve.org/CVERecord?id=CVE-2025-65790

Ce dépôt documente une vulnérabilité de Cross-Site Scripting (XSS) réfléchi dans FuguHub 8.1, où les fichiers SVG contenant du JavaScript intégré sont exécutés lorsqu'ils sont consultés via l'interface du gestionnaire de fichiers interne /fs/.

CVE attribué : CVE-2025-65790
Découvert par : Han Tek Foo
Sévérité : Élevée
Impact : Exécution arbitraire de JavaScript

Introduction

FuguHub est un serveur multimédia cloud développé par Real Time Logic / Sesamt Data AB. Lors des tests d'une installation par défaut, une vulnérabilité de cross-site scripting (XSS) réfléchi a été identifiée dans le traitement des fichiers SVG servis via le gestionnaire de fichiers intégré de FuguHub. Le JavaScript malveillant intégré dans un fichier SVG est exécuté automatiquement lorsque le fichier est ouvert via l'interface /fs/. Cela permet à des attaquants distants d'exécuter du JavaScript arbitraire dans le navigateur de la victime.

Environnement de test

Système d'exploitation : Debian Linux (installation fraîche)

Version de FuguHub : Dernier téléchargement au 2025-11-12

URL testée :

http://127.0.0.1/fs/

FuguHub n'affiche pas de numéro de version explicite dans l'interface. Les tests ont été effectués sur une installation propre réalisée directement à partir de la page de téléchargement officielle.

Preuve de concept

Tout d'abord, téléchargez et exécutez la dernière version de FuguHub :

wget https://fuguhub.com/install/FuguHub.linux.install

chmod +x FuguHub.linux.install

sudo ./FuguHub.linux.install

Accédez à la section Web-File-Server puis au gestionnaire de fichiers Web :

alt text

Dans le gestionnaire de fichiers Web, téléversez xss.svg :

alt text

Téléversement réussi de xss.svg

alt text

En cliquant sur xss.svg, le navigateur déclenche le XSS et l'alerte affiche le domaine « 127.0.0.1 » via alert(document.domain), confirmant le XSS réfléchi.

alt text

Voici le code xss.svg que j'ai utilisé dans le PoC :

<svg xmlns="http://www.w3.org/2000/svg" width="400" height="400" viewBox="0 0 124 124" fill="none">
<rect width="124" height="124" rx="24" fill="#000000"/>
   <script type="text/javascript">  
      alert(document.domain);
   </script>
</svg>

🧩 Cause racine

FuguHub sert les fichiers SVG directement, sans assainissement ni filtrage des scripts. Les navigateurs traitent le SVG comme du contenu XML actif et exécutent les éléments <script> intégrés, ce qui entraîne un XSS réfléchi.

🛡 Impact

L'exécution de JavaScript contrôlé par l'attaquant peut entraîner :

Détournement d'identifiants/session (si les cookies ne sont pas HttpOnly)
Manipulation de l'interface utilisateur, hameçonnage
Actions utilisateur forcées dans l'application
Extension de la surface d'attaque entre utilisateurs

🛠 Recommandations d'atténuation

Supprimer les balises <script> et les attributs d'événements des fichiers SVG
Désactiver l'exécution de scripts intégrés ou imposer un sandboxing
Appliquer une Content-Security-Policy (CSP) stricte
Restreindre les téléversements SVG ou les convertir en image matricielle (PNG)
Assainir/analyser le SVG avant de le servir via /fs/

🏷 Informations CVE

Ce problème s'est vu attribuer CVE-2025-65790 par MITRE.

Pour faire passer le statut CVE de RESERVED → PUBLIC, ce dépôt est soumis à MITRE comme URL de référence publique.

Crédits

Découvert par :
Han Tek Foo

FuguHub-8.1-Reflected-SVG-XSS-CVE-2025-65790

Populaires