CVE-2026-14856: XSS persistente verso Account Takeover in TastyIgniter v4.3.0

📌 Sommario

È stata identificata una vulnerabilità di Cross-Site Scripting (XSS) persistente nella funzionalità di caricamento file del Media Manager in TastyIgniter v4.3.0. A causa di una validazione e sanificazione insufficiente dei file .svg caricati, un utente autenticato con privilegi bassi può caricare un file dannoso contenente codice JavaScript incorporato.

Quando un amministratore visualizza o anteprima il file caricato, il payload viene eseguito nel contesto della sua sessione. Combinando questo vettore con la Cross-Site Request Forgery (CSRF), un attaccante può estrarre il token anti-CSRF dell'amministratore e innescare azioni amministrative non autorizzate (ad es., modifica delle credenziali dell'account), portando a un Account Takeover completo.

---

📊 Panoramica Tecnica

---

⚙️ Catena di Sfruttamento

1. Fase di caricamento: Un utente autenticato con privilegi bassi carica un file SVG contenente un payload JavaScript dannoso nel Media Manager.
2. Fase di esecuzione: Un amministratore visualizza il file, eseguendo il JavaScript incorporato nel contesto della sessione del proprio browser.
3. Estrazione del token: Lo script estrae programmaticamente il token CSRF attivo dell'amministratore.
4. Account Takeover: Lo script invia una richiesta autenticata utilizzando il token rubato per aggiornare le credenziali amministrative (email/password).

---

📁 Proof of Concept (PoC)

Il report tecnico completo, la descrizione dettagliata passo-passo e l'analisi sono disponibili in formato PDF all'interno di questo repository:

📄 TastyIgniter-4.3.0-POC.pdf

---

🛡️ Rimedio e Divulgazione Coordinata

• Stato del fornitore: Corretto nell'ultima release dal produttore. Si consiglia di aggiornare alla versione più recente.
• Coordinamento: Divulgato in modo responsabile tramite INCIBE-CERT Coordinated Vulnerability Disclosure (CVD).
• Avviso ufficiale: Avviso INCIBE-CERT

---

👤 Autore

Jonas Fernández