[CVE-2025-61183] XSS persistente nel caricamento dell'avatar utente tramite gestione non sicura di SVG

Panoramica

Una vulnerabilità di Cross-Site Scripting (XSS) persistente è stata identificata in vaahcms, in particolare nell'interazione tra la logica di caricamento dei file in MediaController.php e il metodo storeAvatar() in UserBase.php, che consente a un utente registrato con privilegi minimi di caricare un file SVG dannoso contenente JavaScript incorporato. La vulnerabilità deriva dal fatto che il salvataggio del file avviene prima della validazione del contenuto o del tipo MIME, lasciando file dannosi in un percorso prevedibile e accessibile pubblicamente sul server. La vulnerabilità nasce dal metodo upload() in MediaController.php

$path = $request->file($input_file_name) ->storeAs($request->folder_path, $upload_file_name); che permette a un attaccante di specificare il percorso della directory, consentendogli di posizionare file dannosi (come un SVG carico di XSS) direttamente nella directory public/, rendendo il payload immediatamente accessibile tramite un browser web.

Impatto

Lo sfruttamento riuscito consente a un attaccante di controllare il contenuto e il nome di un file scritto in un percorso di archiviazione pubblico (/storage/media/YYYY/MM/<controlled-filename>.svg). Se questo SVG accessibile pubblicamente viene successivamente renderizzato dal browser di un utente tramite un ``, <object> o un link appositamente creato, lo script incorporato verrà eseguito, portando a XSS persistente.

Prodotto e versioni interessate

• Prodotto: VaahCMS
• Versioni vulnerabili: 2.3.1

Endpoint vulnerabile

POST /backend/vaah/manage/media/upload

Criticità principali

1. Race Condition/Problema di tempistica: Il file viene salvato fisicamente su disco prima che venga eseguita qualsiasi validazione del contenuto o controllo del tipo MIME.
2. Percorso prevedibile: I file dannosi vengono salvati in un percorso pubblico prevedibile: /storage/media/YYYY/MM/<controlled-filename>.svg.
3. Nessuna pulizia: I file persistono anche se il backend restituisce un errore (ad es., {"success": false, "errors": ["Unable to decode input"]}).

Flusso di sfruttamento (Proof of Concept)

1. Un attaccante crea un file SVG appositamente predisposto (vedi POC.svg).
2. L'attaccante invia una richiesta all'endpoint vulnerabile, controllando il nome del file (ad es., xss.svg).
3. Nonostante una risposta fallita dal backend, il file viene salvato su disco, ad esempio in /storage/media/2025/08/xss.svg.
4. L'attaccante consegna un link o incorpora il percorso (ad es., in un post di un forum o in un'email) a una vittima, attivando il payload.

Mitigazione/Risposta del fornitore

• Fornitore: VaahCMS
• Stato: Riconosciuto, correzione in sospeso
• Mitigazione temporanea:
  • Disabilitare completamente il caricamento di file SVG nell'applicazione
  • Implementare la validazione del tipo di file lato server tramite controllo del tipo MIME prima di salvare i file
  • Utilizzare una libreria dedicata per la sanificazione degli SVG (ad es., enshrined/svg-sanitize per PHP)
  • Salvare i file caricati al di fuori della root web e servirli tramite un proxy sicuro
  • Implementare la pulizia automatica dei file che non superano la validazione

🔗 Riferimenti

• https://github.com/webreinvent/vaahcms/issues/301

---

Ricercatore: Thaw Phone Nyo

Data di divulgazione: 2025/10/8