Cela se produit parce que le fichier SVG est stocké et servi tel quel, permettant aux balises <script> intégrées, aux gestionnaires d'événements (par exemple, onload, onclick) ou aux éléments <foreignObject> de s'exécuter dans le contexte d'origine de l'application.

🧪 Étapes pour reproduire

1. Connectez-vous à l'application intégrée à CKFinder v1.4.3.
2. Accédez à la fonctionnalité Téléchargement de fichiers.
3. Téléchargez le fichier SVG malveillant suivant :
4. Après le téléchargement, accédez au fichier ou prévisualisez-le depuis le gestionnaire de fichiers CKFinder ou toute vue liée.
5. Observez l'exécution de JavaScript dans le navigateur.

🎯 Impact / Risques

• Exécution de JavaScript arbitraire dans le navigateur de la victime.
• Vol de jetons de session ou d'informations sensibles.
• Manipulation du DOM ou redirection vers des sites web malveillants.
• Mouvement latéral potentiel dans les interfaces d'administration ou de gestion.

🛡️ Correction

• Nettoyez et validez les fichiers SVG téléchargés avant de les stocker ou de les afficher.
• Désactivez le téléchargement de SVG si cela n'est pas nécessaire.
• Si les téléchargements SVG sont nécessaires :
  • Utilisez un nettoyeur SVG sécurisé (par exemple, DOMPurify, SVG-Sanitizer) avant l'affichage.
  • Servez les SVG téléchargés avec des en-têtes de réponse sécurisés :
    root@kitploit:~

    Content-Type: image/svg+xml; charset=UTF-8
    Content-Disposition: attachment
    X-Content-Type-Options: nosniff
    

  • Hébergez les fichiers téléchargés par les utilisateurs sur un domaine ou CDN séparé pour imposer l'isolement d'origine.
• Mettez à niveau vers la dernière version de CKFinder, car les versions plus récentes peuvent inclure une meilleure gestion du nettoyage des fichiers et de la sécurité.

Preuve de concept

👤 Découvreur

Shubham Ghadge
Chercheur en sécurité / Consultant en sécurité applicative