CVE-2021-30146

Seafile 7.0.5 XSS persistant

[Description suggérée] : L'application (version serveur : 7.0.5 Seafile) est vulnérable à un XSS persistant via la fonctionnalité de partage de bibliothèque.

[Informations supplémentaires] : Seafile est une solution open source de synchronisation et de partage de fichiers auto-hébergée, offrant des performances et une fiabilité élevées.

[Type de vulnérabilité] : Cross Site Scripting (XSS)

[Éditeur du produit] : https://www.seafile.com/en/home/

Une lettre a été envoyée à l'éditeur au sujet de la vulnérabilité.

[Type d'attaque] : À distance

[Vecteurs d'attaque] : Un attaquant disposant d'un compte local peut partager une bibliothèque spécialement créée avec du code JavaScript malveillant à d'autres utilisateurs. Le code JavaScript malveillant est exécuté via un message de notification dans le compte de la victime. L'attaquant peut attaquer tous les utilisateurs de l'application en un seul essai.

[Découvert par] : Alexander Semenenko

[Référence] : https://www.seafile.com/

[Preuve de concept] :