CVE-2026-14856 : XSS stocké menant à la prise de contrôle de compte dans TastyIgniter v4.3.0

📌 Résumé

Une vulnérabilité de script intersite stocké (Stored Cross-Site Scripting, XSS) a été identifiée dans la fonctionnalité de téléversement de fichiers du Media Manager de TastyIgniter v4.3.0. En raison d'une validation et d'un assainissement insuffisants des fichiers .svg téléversés, un utilisateur authentifié à faibles privilèges peut téléverser un fichier malveillant contenant du code JavaScript intégré.

Lorsqu'un administrateur consulte ou prévisualise le fichier téléversé, la charge utile s'exécute dans le contexte de sa session. En enchaînant ce vecteur avec une falsification de requête intersite (Cross-Site Request Forgery, CSRF), un attaquant peut extraire le jeton anti-CSRF de l'administrateur et déclencher des actions administratives non autorisées (par exemple, modifier les identifiants du compte), ce qui aboutit à une prise de contrôle totale du compte.

---

📊 Aperçu technique

---

⚙️ Chaîne d'exploitation

1. Phase de téléversement : un utilisateur authentifié à faibles privilèges téléverse un fichier SVG contenant une charge utile JavaScript malveillante dans le Media Manager.
2. Phase d'exécution : un administrateur consulte le fichier, ce qui exécute le JavaScript intégré dans le contexte de sa session de navigateur.
3. Extraction du jeton : le script extrait par programmation le jeton CSRF actif de l'administrateur.
4. Prise de contrôle du compte : le script envoie une requête authentifiée utilisant le jeton volé pour mettre à jour les identifiants administratifs (e-mail/mot de passe).

---

📁 Preuve de concept (PoC)

Le rapport technique complet, la décomposition étape par étape et l'analyse sont disponibles au format PDF dans ce dépôt :

📄 TastyIgniter-4.3.0-POC.pdf

---

🛡️ Correctif et divulgation coordonnée

• Statut du fournisseur : corrigé dans la dernière version publiée par le fabricant. La mise à jour vers la version la plus récente est recommandée.
• Coordination : divulgation responsable effectuée via la divulgation coordonnée de vulnérabilités (CVD) de l'INCIBE-CERT.
• Avis officiel : Avis INCIBE-CERT

---

👤 Auteur

Jonas Fernández