CVE-2021-29460

概要

KirbyはオープンソースCMSです。Kirby パネルに書き込みアクセス権を持つエディターは、`<script>` タグのような有害なコンテンツを含むSVGファイルをアップロードできます。そのファイルへの直接リンクは、サイトの他のユーザーや訪問者に送信できます。被害者がそのリンクを、Kirbyにログインしているブラウザで開くと、スクリプトが実行され、例えば被害者の権限でKirbyのAPIへのリクエストをトリガーできます。認証されたパネルユーザーのグループ内に潜在的な攻撃者がいる場合、管理者ユーザーのパネルセッションにアクセスできれば権限を昇格できるため、この脆弱性は深刻です。サイトによっては、他のJavaScriptを利用した攻撃も可能です。パネルアクセスのない訪問者は、サイトがフロントエンドフォームでのSVGファイルのアップロードを許可し、アップロードされたSVGファイルをサニタイズしていない場合にのみ、この攻撃ベクトルを利用できます。この問題はKirby 3.5.4で修正されています。脆弱性を修正するには、このバージョン以降に更新してください。フロントエンドのアップロードフォームは、アップロードされたファイルの保存方法に応じて個別にパッチを適用する必要があります。`File::create()` を使用している場合は、3.5.4+ に更新することで保護されます。回避策として、ファイルブループリントでSVGファイルのアップロードを無効にできます。

• Kirby CMS 3.5.3.1 - 'file' Cross-Site Scripting (XSS)エクスプロイト

  Sreenath Raghunathan · php · 2021/04/28