CVE-2021-29460

Riepilogo

Kirby è un CMS open source. Un editor con accesso in scrittura al Pannello di Kirby può caricare un file SVG che contiene contenuti dannosi come tag `<script>`. Il link diretto a quel file può essere inviato ad altri utenti o visitatori del sito. Se la vittima apre quel link in un browser in cui ha effettuato l'accesso a Kirby, lo script verrà eseguito e può, ad esempio, innescare richieste all'API di Kirby con i permessi della vittima. Questa vulnerabilità è critica se potresti avere potenziali attaccanti nel tuo gruppo di utenti autenticati del Pannello, poiché possono elevare i propri privilegi se ottengono l'accesso alla sessione del Pannello di un utente amministratore. A seconda del tuo sito, sono possibili altri attacchi basati su JavaScript. I visitatori senza accesso al Pannello possono utilizzare questo vettore di attacco solo se il tuo sito consente il caricamento di file SVG nei moduli frontend e non sanitizzi già i file SVG caricati. Il problema è stato corretto in Kirby 3.5.4. Aggiorna a questa o a una versione successiva per risolvere la vulnerabilità. I moduli di caricamento frontend devono essere corretti separatamente a seconda di come memorizzano i file caricati. Se usi `File::create()`, sei protetto aggiornando alla 3.5.4+. Come soluzione alternativa, puoi disabilitare il caricamento di file SVG nei tuoi blueprint di file.

• Kirby CMS 3.5.3.1 - 'file' Cross-Site Scripting (XSS)Exploit

  Sreenath Raghunathan · php · 28 apr 2021