rivek619/cve-2025-65675Vulnerabilità di Cross-site scripting (XSS) memorizzato in Classroomio LMS 0.1.13 consente ad attaccanti autenticati di eseguire codice arbitrario tramite immagini del profilo SVG appositamente create. Scoperta da - Rivek Raj Tamang (RivuDon), Sikkim, India.
Vulnerabilità di cross-site scripting (XSS) memorizzata in Classroomio LMS 0.1.13 consente ad attaccanti autenticati di eseguire codice arbitrario tramite immagini del profilo SVG appositamente create. Scoperta da - Rivek Raj Tamang (RivuDon), Sikkim, India.
Prodotto interessato: ClassroomIO
Cross-Site Scripting Memorizzata
Esiste una vulnerabilità di Cross-Site Scripting (XSS) memorizzata in Classroomio LMS versione 0.1.13, in cui l'applicazione non sanifica i caricamenti di immagini del profilo SVG. Un attaccante autenticato può caricare un file SVG malevolo contenente JavaScript incorporato, che viene poi memorizzato ed eseguito ogni volta che l'immagine del profilo viene visualizzata. Poiché il payload viene eseguito da un dominio fidato, questo difetto può portare a hijacking di sessione, furto di account, attacchi di reindirizzamento o ulteriori sfruttamenti all'interno della piattaforma.
Accedi e vai alle impostazioni del profilo
Clicca su carica immagine
Seleziona il file SVG XSS e clicca su carica
Attendi il salvataggio
Fai clic destro sull'immagine del profilo e aprilo in una nuova scheda
Nota l'XSS memorizzato che viene eseguito.
Questa vulnerabilità è stata scoperta e segnalata in modo responsabile da:
Rivek Raj Tamang (RivuDon) del Sikkim, India
