• आवश्यक (किसी उपयोगकर्ता या व्यवस्थापक को अपलोड की गई फ़ाइल के साथ इंटरैक्ट करना या उसे खोलना आवश्यक है।)

प्रभावित घटक

• फ़ाइल अपलोड सुविधा: भेद्यता फ़ाइल अपलोड कार्यक्षमता में निहित है, जहां अनुचित स्वच्छता और सत्यापन के कारण अपलोड की गई फ़ाइल के साथ इंटरैक्ट करने वाले किसी भी उपयोगकर्ता के ब्राउज़र में दुर्भावनापूर्ण जावास्क्रिप्ट कोड निष्पादित हो जाता है।

प्रभाव

• अनधिकृत स्क्रिप्ट निष्पादन: XSS भेद्यता उपयोगकर्ता के सत्र के भीतर दुर्भावनापूर्ण जावास्क्रिप्ट कोड के निष्पादन की अनुमति देती है।
• सत्र अपहरण और क्रेडेंशियल चोरी: हमलावर उपयोगकर्ता सत्रों को हाईजैक कर सकते हैं, संवेदनशील जानकारी चुरा सकते हैं, या पीड़ित के सत्र के तहत अनधिकृत कार्रवाई कर सकते हैं।

उपचार

• इनपुट सत्यापन और स्वच्छता: अपलोड प्रक्रिया के दौरान सभी फ़ाइल मेटाडेटा और सामग्री को उचित रूप से सत्यापित और स्वच्छ करें।
• फ़ाइल प्रकारों को प्रतिबंधित करें: एम्बेडेड स्क्रिप्ट के निष्पादन को रोकने के लिए अपलोड की जा सकने वाली फ़ाइलों के प्रकारों को सीमित करें।
• सुरक्षा उपाय: यह सुनिश्चित करने के लिए अतिरिक्त सुरक्षा नियंत्रण लागू करें कि अपलोड की गई फ़ाइलों को ठीक से संभाला जाए और वे अनधिकृत स्क्रिप्ट निष्पादित न करें।

CVE-2024-33231
द्वारा रिपोर्ट किया गया [Facundo Fernandez / सुरक्षा शोधकर्ता]