CVE-2023-24278 - Squidex में Reflected XSS कमजोरियाँ

अवलोकन

CVE आईडी: CVE-2023-24278
प्रभावित उत्पाद: 7.4.0 से पहले के Squidex संस्करण
रिपोर्टकर्ता: Ioannis Christodoulakos

यह रिपॉजिटरी Squidex ओपन-सोर्स हेडलेस CMS सॉफ़्टवेयर में खोजी गई दो Reflected क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरियों की जानकारी और एक एक्सप्लॉइट प्रदान करती है। ये कमजोरियाँ 7.4.0 से पहले के सभी संस्करणों को प्रभावित करती हैं और हमलावरों को /squid.svg एंडपॉइंट के विशिष्ट क्वेरी पैरामीटरों में कोड एम्बेड करके पीड़ितों के ब्राउज़र में दुर्भावनापूर्ण JavaScript कोड निष्पादित करने में सक्षम बनाती हैं।

कमजोरियों का विवरण

ये कमजोरियाँ /squid.svg एंडपॉइंट के text और background पैरामीटरों में उपयोगकर्ता द्वारा आपूर्ति किए गए इनपुट के अनुचित सैनिटाइज़ेशन के कारण मौजूद हैं। इन पैरामीटरों में पारित दुर्भावनापूर्ण इनपुट सीधे एक स्वतः-जनरेटेड SVG छवि में एम्बेड किया जाता है, जिसे फिर उपयोगकर्ता के ब्राउज़र पर वापस प्रतिबिंबित किया जाता है। यह हमलावरों को मनमाना JavaScript कोड इंजेक्ट करने और निष्पादित करने की अनुमति देता है।