[CVE-2025-61183] असुरक्षित SVG हैंडलिंग के माध्यम से यूज़र अवतार अपलोड में स्टोर्ड XSS

अवलोकन

vaahcms में एक स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता पाई गई, विशेष रूप से MediaController.php में फ़ाइल अपलोड लॉजिक और UserBase.php में storeAvatar() विधि के बीच परस्पर क्रिया में, जो एक निम्न-स्तरीय पंजीकृत उपयोगकर्ता को एम्बेडेड जावास्क्रिप्ट युक्त एक दुर्भावनापूर्ण SVG फ़ाइल अपलोड करने की अनुमति देती है। यह भेद्यता फ़ाइल भंडारण के पहले सामग्री या MIME-प्रकार सत्यापन से होने के कारण उत्पन्न होती है, जिससे दुर्भावनापूर्ण फ़ाइलें सर्वर पर एक अनुमानित, सार्वजनिक रूप से सुलभ पथ पर छोड़ दी जाती हैं। यह भेद्यता MediaController.php में upload() विधि से उत्पन्न होती है।

$path = $request->file($input_file_name) ->storeAs($request->folder_path, $upload_file_name); जो एक हमलावर को निर्देशिका पथ निर्दिष्ट करने की अनुमति देता है, जिससे वे दुर्भावनापूर्ण फ़ाइलों (जैसे XSS-युक्त SVG) को सीधे public/ निर्देशिका में रख सकते हैं, जिससे पेलोड तुरंत वेब ब्राउज़र के माध्यम से सुलभ हो जाता है।

प्रभाव

सफल शोषण एक हमलावर को एक सार्वजनिक भंडारण पथ (/storage/media/YYYY/MM/<controlled-filename>.svg) पर लिखी गई फ़ाइल की सामग्री और फ़ाइलनाम को नियंत्रित करने की अनुमति देता है। यदि यह सार्वजनिक रूप से सुलभ SVG बाद में किसी उपयोगकर्ता के ब्राउज़र द्वारा ``, <object>, या क्राफ्ट किए गए लिंक के माध्यम से प्रस्तुत किया जाता है, तो एम्बेडेड स्क्रिप्ट निष्पादित हो जाएगी, जिससे स्थायी XSS होगा।

प्रभावित उत्पाद और संस्करण

• उत्पाद: VaahCMS
• संवेदनशील संस्करण: 2.3.1

संवेदनशील एंडपॉइंट

POST /backend/vaah/manage/media/upload

महत्वपूर्ण दोष

1. रेस कंडीशन/टाइमिंग समस्या: कोई भी सामग्री सत्यापन या MIME-प्रकार जाँच करने से पहले फ़ाइल भौतिक रूप से डिस्क पर सहेजी जाती है।
2. अनुमानित पथ: दुर्भावनापूर्ण फ़ाइलें एक अनुमानित सार्वजनिक पथ पर सहेजी जाती हैं: /storage/media/YYYY/MM/<controlled-filename>.svg।
3. कोई सफाई नहीं: बैकएंड त्रुटि लौटाने पर भी फ़ाइलें बनी रहती हैं (उदा., {"success": false, "errors": ["Unable to decode input"]})।

शोषण प्रवाह (प्रूफ ऑफ कॉन्सेप्ट)

1. एक हमलावर एक विशेष रूप से क्राफ्ट की गई SVG फ़ाइल बनाता है (POC.svg देखें)।
2. हमलावर संवेदनशील एंडपॉइंट पर एक अनुरोध भेजता है, फ़ाइलनाम को नियंत्रित करते हुए (उदा., xss.svg)।
3. असफल बैकएंड प्रतिक्रिया के बावजूद, फ़ाइल डिस्क पर सहेजी जाती है, उदाहरण के लिए, /storage/media/2025/08/xss.svg पर।
4. हमलावर एक लिंक वितरित करता है या पथ को एम्बेड करता है (उदा., फोरम पोस्ट या ईमेल में) किसी पीड़ित को, जिससे पेलोड ट्रिगर होता है।

शमन/विक्रेता प्रतिक्रिया

• विक्रेता: VaahCMS
• स्थिति: स्वीकृत, फिक्स लंबित
• अस्थायी शमन:
  • एप्लिकेशन में SVG फ़ाइल अपलोड को पूरी तरह से अक्षम करें
  • फ़ाइलों को संग्रहीत करने से पहले MIME प्रकार जाँच का उपयोग करके सर्वर-साइड फ़ाइल प्रकार सत्यापन लागू करें
  • एक समर्पित SVG सैनिटाइज़र लाइब्रेरी का उपयोग करें (उदा., PHP के लिए enshrined/svg-sanitize)
  • अपलोड की गई फ़ाइलों को वेब रूट के बाहर संग्रहीत करें और उन्हें एक सुरक्षित प्रॉक्सी के माध्यम से परोसें
  • सत्यापन में विफल होने वाली फ़ाइलों की स्वचालित सफाई लागू करें

🔗 संदर्भ

• https://github.com/webreinvent/vaahcms/issues/301

---

शोधकर्ता: Thaw Phone Nyo

खुलासा तिथि: 2025/10/8