CVE-2026-14856: TastyIgniter v4.3.0 में संग्रहीत XSS से खाता अधिग्रहण

📌 सारांश

TastyIgniter v4.3.0 के Media Manager की फ़ाइल अपलोड कार्यक्षमता में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (Stored XSS) भेद्यता पाई गई। अपलोड किए गए .svg फ़ाइलों के अपर्याप्त सत्यापन और सैनिटाइज़ेशन के कारण, एक प्रमाणित निम्न-विशेषाधिकार (low-privileged) उपयोगकर्ता एम्बेडेड JavaScript कोड वाली एक दुर्भावनापूर्ण फ़ाइल अपलोड कर सकता है।

जब कोई व्यवस्थापक अपलोड की गई फ़ाइल को देखता या पूर्वावलोकन करता है, तो पेलोड उनके सत्र के संदर्भ में निष्पादित हो जाता है। इस वेक्टर को क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) के साथ जोड़कर, एक हमलावर व्यवस्थापक का anti-CSRF टोकन निकाल सकता है और अनधिकृत प्रशासनिक क्रियाएँ (जैसे, खाता क्रेडेंशियल संशोधित करना) ट्रिगर कर सकता है, जिसके परिणामस्वरूप पूर्ण खाता अधिग्रहण होता है।

---

📊 तकनीकी अवलोकन

---

⚙️ शोषण श्रृंखला

1. अपलोड चरण: एक प्रमाणित निम्न-विशेषाधिकार उपयोगकर्ता Media Manager में दुर्भावनापूर्ण JavaScript पेलोड वाली एक SVG फ़ाइल अपलोड करता है।
2. निष्पादन चरण: एक व्यवस्थापक फ़ाइल देखता है, जिससे एम्बेडेड JavaScript उनके ब्राउज़र सत्र संदर्भ में निष्पादित होता है।
3. टोकन निष्कर्षण: स्क्रिप्ट प्रोग्रामेटिक रूप से व्यवस्थापक के सक्रिय CSRF टोकन को निकालती है।
4. खाता अधिग्रहण: स्क्रिप्ट चुराए गए टोकन का उपयोग करके एक प्रमाणित अनुरोध भेजती है ताकि प्रशासनिक क्रेडेंशियल (ईमेल/पासवर्ड) अपडेट किए जा सकें।

---

📁 प्रूफ ऑफ कॉन्सेप्ट (PoC)

पूर्ण तकनीकी रिपोर्ट, चरण-दर-चरण विवरण और विश्लेषण इस रिपॉज़िटरी में PDF प्रारूप में उपलब्ध है:

📄 TastyIgniter-4.3.0-POC.pdf

---

🛡️ सुधार एवं समन्वित प्रकटीकरण

• विक्रेता स्थिति: निर्माता द्वारा नवीनतम रिलीज़ में सुधार किया गया। नवीनतम संस्करण में अपडेट करने की अनुशंसा की जाती है।
• समन्वय: INCIBE-CERT समन्वित भेद्यता प्रकटीकरण (CVD) के माध्यम से जिम्मेदारीपूर्वक प्रकट किया गया।
• आधिकारिक सलाह: INCIBE-CERT नोटिस

---

👤 लेखक

Jonas Fernández