CVE-2021-29460

सारांश

Kirby एक ओपन सोर्स CMS है। एक एडिटर जिसके पास Kirby Panel तक लिखने की पहुँच है, वह एक SVG फ़ाइल अपलोड कर सकता है जिसमें `<script>` टैग जैसी हानिकारक सामग्री हो। उस फ़ाइल का सीधा लिंक साइट के अन्य उपयोगकर्ताओं या आगंतुकों को भेजा जा सकता है। यदि पीड़ित उस लिंक को ऐसे ब्राउज़र में खोलता है जहाँ वे Kirby में लॉग इन हैं, तो स्क्रिप्ट चलेगी और उदाहरण के लिए पीड़ित की अनुमतियों के साथ Kirby के API को अनुरोध भेज सकती है। यह भेद्यता गंभीर है यदि आपके प्रमाणित Panel उपयोगकर्ताओं के समूह में संभावित हमलावर हो सकते हैं, क्योंकि यदि उन्हें किसी व्यवस्थापक उपयोगकर्ता के Panel सत्र तक पहुँच मिल जाती है तो वे अपने विशेषाधिकार बढ़ा सकते हैं। आपकी साइट के आधार पर, अन्य JavaScript-संचालित हमले संभव हैं। Panel पहुँच के बिना आगंतुक केवल तभी इस हमले वेक्टर का उपयोग कर सकते हैं यदि आपकी साइट फ्रंटएंड फ़ॉर्म में SVG फ़ाइल अपलोड की अनुमति देती है और आप अपलोड की गई SVG फ़ाइलों को सैनिटाइज़ नहीं करते हैं। समस्या को Kirby 3.5.4 में ठीक कर दिया गया है। कृपया भेद्यता को ठीक करने के लिए इस या बाद के संस्करण में अपडेट करें। फ्रंटएंड अपलोड फ़ॉर्म को अलग से पैच करने की आवश्यकता है, यह इस बात पर निर्भर करता है कि वे अपलोड की गई फ़ाइल(फ़ाइलों) को कैसे संग्रहीत करते हैं। यदि आप `File::create()` का उपयोग करते हैं, तो आप 3.5.4+ पर अपडेट करके सुरक्षित हैं। एक कामचलाऊ उपाय के रूप में, आप अपने फ़ाइल ब्लूप्रिंट में SVG फ़ाइलों का अपलोड अक्षम कर सकते हैं।

• Kirby CMS 3.5.3.1 - 'file' Cross-Site Scripting (XSS)एक्सप्लॉइट

  Sreenath Raghunathan · php · 28 अप्रैल 2021